советую такие вещи блокировать на вебсервере. Потому-что блокировка на IPS вызывает ядро движка (php код), которое очень прожорливо до ресурсов. А боты со всего диапазона адресов непрерывно бомбят сайт. Поэтому отсекать их надо до вызова php.
Перенос директив блокировки IP из nginx.conf в .htaccess в связке Nginx + Apache — архитектурно неверное решение, критически повышающее нагрузку на сервер. Nginx отсекает нежелательные запросы на фронтенде мгновенно и с минимальным потреблением ресурсов, не передавая их дальше. Если правила перенести в .htaccess, Nginx будет вынужден проксировать каждый запрос от заблокированного IP в Apache, который при каждом таком обращении обязан считывать и парсить файл .htaccess с диска, только чтобы отклонить доступ. Это создает паразитную нагрузку на CPU, память и дисковый ввод-вывод, что при массированных атаках приведет к быстрому исчерпанию пула воркеров Apache и падению сайта. Если же Nginx не установлен и сервер работает только на Apache, использование .htaccess или конфигурации Apache становится безальтернативным, однако в этом случае сервер изначально лишен преимуществ быстрого фронтенд-проксирования и вынужден тратить ресурсы на обработку каждого входящего соединения, включая блокируемые, что в любом случае менее эффективно, чем фильтрация на уровне Nginx.
