Очень часто (особенно, если на сервере установлена панель управления вроде ISPManager) при добавлении первого сайта для него устанавливается основной IP-адрес. В итоге сайт доступен не только по своему адресу, но и по IP-адресу сервера. 

Для того чтобы в nginx запретить открытие сайта по IP-адресу  — достаточно в конфигурационном файле (как правило это /etc/nginx/nginx.conf) добавить новую секцию server, которая и будет обрабатывать такие запросы. Разумеется, добавлять её нужно строго перед всеми остальными секциями «server {…}»:

server {
listen 192.168.0.123:80 default_server;
server_name _;
return 444;
}

192.168.0.123 — это ваш IP адрес на котором размещен сайт. Его нужно заменить на актуальный.

После этого останется только перезагрузить nginx.