Digamos que você esteja atendendo example.com com o Nginx e dois servidores upstream, www1.example.com e www2.example.com. Qual é a maneira correta de (não) expor seus servidores upstream? É importante ocultar wwwX.example.com?
Você configura o wwwX.example.com para redirecionar para example.com quando não é acessado por meio de (ou seja, proxied by) o Nginx de example.com? Ou você usa um link? Ou algo mais?
Normalmente, a coisa que as pessoas fazem é ter duas interfaces em seu balanceador de carga (no seu caso nginx), uma das quais é voltada para a Internet e uma delas não é. Conecte a última interface a uma rede que contenha seus servidores e não seja acessível pela Internet.
Este é um caso de uso bastante comum para VLANs.
Basta filtrar por firewall ou nginx todos os outros IPs, exceto os do example.com.
Tags nginx