# Доступ из RFC1918 LAN, IPv6 ULA/link-local и Tailscale CGNAT.
# Для жёсткой привязки лучше заменить 0.0.0.0 на конкретный LAN/Tailscale IP.
server {
    listen 0.0.0.0:8089;
    listen [::]:8089;
    server_name _;

    allow 127.0.0.0/8;
    allow ::1/128;
    allow 10.0.0.0/8;
    allow 172.16.0.0/12;
    allow 192.168.0.0/16;
    allow 100.64.0.0/10;
    allow fc00::/7;
    allow fe80::/10;
    deny all;

    location / {
        proxy_pass http://127.0.0.1:9001;
        include /etc/nginx/snippets/proxy-common.conf;
    }
}
