Как менее ресурсно блокировать ботов на nginx - по IP или user-agent?

Мой ответ ещё раз внимательно перечитайте.
Бот неминуемо будет долбиться. Но получая в ответ 403 (или, ещё веселее, 200), он будет ПРОДОЛЖАТЬ долбиться. А поймав таймаут соединения бот с большой вероятностью посчитает сайт "мёртвым" и перестанет тратить ресурсы на его опрос.
Именно с этой целью была сделана оговорка про абсолютно нежелательных визитёров.