Проверил вашу теорию, поставил return 404 в самом начале блока "location /", и если я захожу теперь на "/", получаю ошибку 404, если захожу в "/callback/", получаю так же блок авторизации (собственно говоря я уже это испытывал).
Виталий Кудла: такая разметка тоже не годится, вы конечно безусловно сможете такое поддерживать, потому что сами и сделали, но для другого разработчика это будет "вырви глаз". И читайте внимательно, я написал почему это скорее всего происходит.