mohintohin

На одном IP может быть много доменов. Все они определяются веб сервером.
Когда мы отправляем http запрос на toster.ru то мы подключаемся к айпи адресу, и в заголовке host передаем доменное имя, веб сервер ищет конфиг который подходит под это доменное имя и и передает управление этому конфигу.
https://nginx.org/ru/docs/http/server_names.html
Когда же мы подключаемся по айпи адресу, то в заголовке host передается айпи адрес, сервер не может найти конфиг для этого хоста и запускает дефолтный со страничкой nginx.

1) Перенести порт ssh сервера со стандартного на другой, это отобьет большую часть ботов/сканнеров
2) Запретить авторизацию пользователю root по ssh
3) Поставить Fail2Ban для блокировки айпишников с которых идет брут

P.S. Разные порты это скорее всего порты исходящего соединения, поэтому они разные, к вам же они все стучатся на порт который указан в конфиге sshd