Acontece que a primeira tentativa foi correta $HTTP["remoteip"] !~ "^(81\.209\.1\.1|87\.128\.1\.1)$" {
.
O problema foi um segundo auth.require para a mesma pasta. Não vi isso porque foi definido em outro domínio e não deveria ter sido aplicado aqui.