Тот факт, что имя пользователя было указано в журнале, означает только то, что клиент передал имя пользователя (и предположительно пароль). Это не обязательно означает, что аутентификация прошла успешно. Фактически, из вашей записи в журнале мы видим, что этого не произошло; nginx вернул 444, внутреннюю ошибку, что означает, что nginx разорвал соединение, ничего не отправив.