Hetzner Cloud 于2026 年 10 月 20 日开放新网络栈 hcnet 的公开 Beta。用户可以在控制台为单台 Cloud Server单独启用，也可以选择恢复标准网络栈。它带来更大的 Cloud Firewall 连接追踪容量，但切换过程会短暂断网；因此不建议仅凭“12 万连接”这一个数字就把生产环境全部迁过去。具体功能与限制以Hetzner 更新日志和hcnet 技术文档为准。
hcnet 改变了什么？不是把 VPS 带宽翻倍
旧网络栈对启用了 Cloud Firewall 的服务器，IPv4 与 IPv6合计跟踪 80,000 条连接；hcnet 将它提高到IPv4 各 120,000 条、IPv6 各 120,000 条，官方表示无需因此支付额外费用。这里的“连接追踪”是有状态云防火墙判断数据包是否属于已允许连接的机制，并不等于 Web 并发用户数、每秒 HTTP 请求数、服务器内核 conntrack 设置或公网带宽。
| 对比项 | 标准网络栈 | hcnet（公开 Beta） |
|---|---|---|
| 连接追踪上限 | IPv4 + IPv6 合计 80,000 | IPv4 120,000 + IPv6 120,000，分别计数 |
| Cloud Firewall | 既有实现 | 基于 eBPF 的新实现 |
| 跟踪表满时 | 新连接的数据包可能被直接丢弃 | 部分数据包仍按防火墙规则评估；依赖连接状态的回包可能失败 |
| 迁移方式 | 默认仍可使用 | 按服务器主动加入或回退，过程会短暂断网 |
尤其需要区分：未关联 Cloud Firewall 的 Cloud Server 不启用这里所说的 Cloud Firewall 连接追踪。即使 hcnet 的追踪容量提高，也不能推导为应用吞吐提高 50% 或所有流量都不会被限制；两种网络栈的应用性能还要结合业务环境另行测试。
切换前：先确认可恢复访问
生产实例若承载 SSH、数据库连接池、Webhook 或公开 API，建议先找一台网络规则相近的非生产机验证。下面是运维检查建议，并非 Hetzner 强制步骤：
- 记录实例当前的防火墙规则、IPv4/IPv6 地址、路由与健康检查结果；确认云控制台仍可管理该机器。
- 检查业务是否依赖持续不断开的 TCP 会话，例如长连接、数据库复制、远程 SSH；准备客户端重连与维护窗口。
- 确认有适当的系统备份、应用状态恢复方案，并告知依赖该主机的用户可能发生短暂连接中断。
- 选出回退判据：例如 API 健康检查失败、入站防火墙规则不匹配，或 metadata 无法访问。
控制台如何启用、如何回退？
- 进入 Hetzner Console 项目的 Servers，选择目标云服务器。
- 打开 Networking 标签，在 Network Stack 区域选择 Try new network stack。
- 需要回退时，在同一位置选择 Restore standard network stack；回退同样可能造成断网。
官方提醒：这两种操作都会短暂中断网络连接；服务器关联 Cloud Firewall 时，原有连接可能被断开。不要把控制台可以回退理解为“会话不会掉线”或“无需业务恢复”。
切换后：核查哪些项目？
| 核对项目 | 建议验证方式 | 发现异常时 |
|---|---|---|
| 公网访问 | 从外部重新 SSH；分别检查 IPv4/IPv6 和应用健康接口 | 先对照防火墙规则及操作前状态 |
| 长连接恢复 | 检查数据库连接池、反向代理、任务队列能否自动重连 | 按应用自己的重连或回退预案处理 |
| 私网与路由 | 确认私网节点互访；Linux 可用 ip -4 route get 169.254.169.254 辅助检查 metadata IPv4 路由 |
区分路由缺失、应用故障与防火墙阻断 |
| 监控 | 比较切换前后错误率、超时、连接重建情况 | 不稳定时使用控制台回退，并重新执行检查 |
上表的路由命令只是 Linux 的只读排查示例，返回路由不代表 metadata 接口必然正常；实际还应验证依赖 metadata 的服务能否取得所需信息。若你正调整双栈部署，也可以参考本站IPv6 双栈迁移与回滚检查思路；它是通用背景材料，不能替代 hcnet 官方限制。
DHCP 与 metadata：最容易被忽视的 Beta 限制
hcnet 改为统一的 DHCP 实现，并为接口提供前往 metadata server 的专用路由。切换到 hcnet 后，DHCP 客户端不一定立即拿到该路由；切回标准网络栈时，也可能暂时残留旧路由。官方表示这两种情况会在 DHCP 租约到期或重启云服务器后得到解决。因此若出现 metadata 读取异常，先结合路由表和 DHCP 状态定位，再评估等待租约更新或按维护预案重启，不要盲目删除其他生产路由。
对无法连接的情形，本站云服务器 Ping 不通与安全组排查指南可用于梳理一般网络诊断顺序；但 Ping 通或不通不能单独证明 hcnet 切换是否成功。对于依赖稳定长连接、缺乏回退窗口的核心业务，现阶段优先在测试环境评估，等官方进一步公布成熟状态再决定部署范围。
交流与讨论