Решил почитать changelog'и кликхауса и наткнулся на утилитку для проверки конфига nginx: https://github.com/yandex/gixy, сижу второй час и правлю ошибки.
Есть очень забавные штуки про default_server и хедер Host к примеру, никогда бы до такого не додумался - https://www.skeletonscribe.net/2013/05/practical-http-host-header-attacks.html. Или почему нельзя использовать alias, если location не заканчивается слешем (/) - https://github.com/yandex/gixy/blob/master/docs/en/plugins/aliastraversal.md.
В общем советую пробежаться по своим хостам, будет весело, гарантирую.