..., aber der Server, um den es geht, ist draußen, bei Hetzner.
OK, dann passt das auch mit der netmask /32, denn die IPv4-Adresse wird so vom DHCP-Server bei Hetzner, zugewiesen.
Wie ist beim manuellen starten von knockd und beim starten von knochd via service-unit, die Ausgabe von:
ps aux | grep -i [k]nockd
?