O Hetzner parou de designar endereços IPv4 públicos para servidores virtuais. Tanto quanto eu posso dizer esta mudança aconteceu quando eles mudaram o nome do produto de VQ para CX. O uso de NAT não é mencionado na descrição do produto.
Os servidores virtuais encomendados em 2012 e 2013 ainda têm seu endereço IPv4 público hoje. Mas os servidores virtuais encomendados em 2016 só têm um endereço RFC1918 e o Hetzner não encaminhará um endereço IPv4 público para tal servidor virtual.
Eles ainda alocam um endereço IPv4 público dedicado para cada servidor virtual, que eles NAT para o endereço RFC1918 atribuído. Hetzner acredita que isso não é um problema, porque é um NAT de 1: 1.
Como você descobriu, isso é propenso a erros ao configurar o servidor. Você tem que saber sobre esse NAT. E você tem que procurar o mapeamento sempre que você configura algo. Para o primeiro servidor virtual, entramos em tal configuração que foi configurada incorretamente duas vezes nos primeiros dias devido a isso.
Qualquer software que dependa do conhecimento do endereço IPv4 público será interrompido ou precisará de configuração especial. Além disso, alguns VPN e túnel IP podem ter problemas porque os pacotes encapsulados não serão NAT.
Se você tiver estabelecido que esses possíveis problemas não afetam o uso pretendido, e se você estiver confortável em ter que levar em conta o mapeamento entre endereços públicos e privados ao fazer alterações na configuração, poderá aceitar a situação.
No entanto, esteja ciente de que a maioria das implementações de NAT é stateful. Se o NAT é realmente stateful, você pode experimentar conexões TCP protelar quando o estado é perdido.
Eu não sei se o NAT usado por Hetzner é stateful ou stateless. A maneira mais óbvia que eu poderia pensar em testar a stateful é tunelizar o estabelecimento de conexões e desabilitar o túnel quando uma conexão TCP é estabelecida. Infelizmente, esse tipo de tunelamento é exatamente o que não funciona, então, para realizar esse experimento, seria necessário replicar a configuração 1: 1 NAT primeiro. Eu não tentei este experimento bastante complicado.
Estas são as opções que você tem:
- Aceite que seu tráfego passará por um NAT de 1: 1 com as desvantagens que apresenta.
- Faça todo o tráfego importante no IPv6 - como o Hetzner faz o roteamento do tráfego IPv6 corretamente sem NAT.
- Mude para um servidor dedicado (supondo que eles ainda obtenham um endereço IPv4 público, o que é difícil de descobrir, já que o uso de NAT não é mencionado em nenhum lugar na descrição do produto).
- Mude para um provedor diferente.