return アクセス拒否にするには

if と return を使うことによって
Apacheでいうところのdenyが実装できます。

server {
     if ($remote_addr = '***.***.***.***') {
         return 403;
     }
}

$remote_addrにクライアントのIPアドレスが格納されています。
ifの判断記号を変更することによりネットワークも指定できますね。

if ($remote_addr ~ '***.***.***.') {
    return 403;
}

$http_refererにはアクセス元のURLが格納されます。
例なので、google関連からのアクセスは遮断してます。

if ($http_referer ~* 'google') {
    return 403;
}