NBot не как не забанить бота.

Для начала необходимо показать всю логику работы правил в CL.

Как вариант, через логи посмотрите не попадает ли сеть в SKIP и в какое правило. Это самое очевидное.

По той статистике ай пи в этом диапазоне 

Нет ли перед этим (выше) правил, типа "пропускать хороших ботов" и т.д.?

Банить нужно самым первым правилом, так как CF считает "хорошими ботами" всякое барахло.

В общем, если первым сработало правило, которое по дефолту пропускает "NBot", то последующие правила не сработают ни по юзер агенту, ни по AS/IP.

А может быть, что бот заходит на сайт по ай пи сайта, минуя клоуд?

я там и баню

А почему бы и нет? - запросто, если IP сервера был ранее засвечен.

Но, тут уже Nginx (или что там у вас стоит на сервере) нужно настраивать, чтобы запретить прямое обращение по IP.

Он может и через mail.твойсайт.com заходить если mail у тебя не проксируется.

всё под прокси, скорее всего так как это первый добавлений сайт в VPS серев ему присваивается ай пи и по нему бот и заходит.

Если так делаешь, то сайт вообще перестаёт работать:

Очень часто (особенно, если на сервере установлена панель управления вроде ISPManager) при добавлении первого сайта для него устанавливается основной IP-адрес. В итоге сайт доступен не только по своему адресу, но и по IP-адресу сервера.

Для того чтобы в nginx запретить открытие сайта по IP-адресу  — достаточно в конфигурационном файле (как правило это /etc/nginx/nginx.conf) добавить новую секцию server, которая и будет обрабатывать такие запросы. Разумеется, добавлять её нужно строго перед всеми остальными секциями «server {…}»:

server {
listen 192.168.0.123:80 default_server;
server_name _;
return 444;