MikroTik RouterOS CHR auf einem KVM VPS installieren

MikroTik Cloud Hosted Router (CHR) ist die virtuelle Ausgabe von RouterOS, ideal als VPN-Gateway, Laborrouter oder Firewall vor anderen Rechnern. Die Installation erfolgt nicht per ISO: Das rohe Festplattenabbild wird über die Festplatte des VPS geschrieben. Diese Anleitung führt Sie durch das Verfahren auf einem VPS Linux Infrawire, samt der Vorkehrungen, die verhindern, dass Sie sich aussperren.

Zerstörerischer Vorgang. Alles auf der VPS-Festplatte (System, Daten, SSH-Schlüssel) wird gelöscht und lässt sich nicht wiederherstellen. Sichern Sie vorher, was Sie brauchen, und fahren Sie nur auf einem VPS fort, den Sie neu aufbauen können.

📋 Voraussetzungen

Ein KVM-VPS mit Ubuntu 24.04 oder Debian 12 und SSH-Root-Zugang (in Ihrem Kundenbereich finden Sie die IP und das Root-Passwort des VPS).
Mindestens 1 GB RAM, da das Abbild im Arbeitsspeicher entpackt wird.
Eine Möglichkeit, die VNC-Konsole des VPS zu öffnen, als Sicherheitsnetz, denn CHR akzeptiert Ihre alten SSH-Schlüssel nicht.
Eine Sicherung Ihrer Daten außerhalb des VPS.

📝 Zuerst die Netzwerkeinstellungen notieren

CHR startet mit leerer Konfiguration. Notieren Sie die Werte, die Sie brauchen, falls kein DHCP angeboten wird:

Bash
1ip -4 addr show scope global
2ip -4 route show default
3ip -6 addr show scope global
4lsblk

Behalten Sie VPS_IP/PREFIX, das Standard-Gateway (GATEWAY), den Schnittstellennamen und den Festplattennamen (meist /dev/vda, manchmal /dev/sda).

💾 Abbild herunterladen und auf die Platte schreiben

Arbeiten Sie im Arbeitsspeicher (/dev/shm), damit der Download das Überschreiben übersteht. Die Versionsnummer (CHR_VERSION) finden Sie auf der Download-Seite von mikrotik.com, im Stable- oder Long-term-Kanal.

Bash
1apt update && apt install -y unzip wget
2cd /dev/shm
3wget https://download.mikrotik.com/routeros/CHR_VERSION/chr-CHR_VERSION.img.zip
4unzip chr-CHR_VERSION.img.zip
5lsblk

Prüfen Sie den Festplattennamen noch einmal und schreiben Sie dann das Abbild. Dieser Befehl zerstört die Zielplatte:

Bash
1dd if=chr-CHR_VERSION.img of=/dev/vda bs=1M oflag=sync status=progress
2sync

Das alte System ist nun weg, daher kann ein einfaches reboot scheitern. Erzwingen Sie stattdessen über den Kernel einen sauberen Neustart:

Bash
1echo 1 > /proc/sys/kernel/sysrq
2echo s > /proc/sysrq-trigger
3echo b > /proc/sysrq-trigger

🔑 Erste Anmeldung und Grundkonfiguration

Öffnen Sie die VNC-Konsole des VPS. Melden Sie sich als admin mit leerem Passwort an; RouterOS verlangt eventuell sofort ein neues. Falls per DHCP keine Adresse kam, setzen Sie sie von Hand:

Bash
1/ip address add address=VPS_IP/PREFIX interface=ether1
2/ip route add dst-address=0.0.0.0/0 gateway=GATEWAY
3/ip dns set servers=1.1.1.1,9.9.9.9
4/ping 1.1.1.1 count=3

Legen Sie danach einen eigenen Administrator an und entfernen Sie den Standardbenutzer, sobald Sie mit dem neuen Konto angemeldet sind:

Bash
1/user add name=USER password=STRONG_PASSWORD group=full
2/user remove admin

🔒 Unnötige Dienste deaktivieren

Ein öffentlicher Router sollte so wenig wie möglich anbieten. Behalten Sie SSH und beschränken Sie es auf Ihre eigene Adresse:

Bash
1/ip service disable telnet,ftp,www,api,api-ssl
2/ip service set ssh address=ADMIN_IP/32
3/ip service set winbox address=ADMIN_IP/32
4/tool mac-server set allowed-interface-list=none
5/ip neighbor discovery-settings set discover-interface-list=none
6/ip service print

Ersetzen Sie ADMIN_IP durch die öffentliche IP, von der aus Sie administrieren. Ändert sich Ihre Adresse, korrigieren Sie sie über die VNC-Konsole.

🎫 CHR-Lizenz

CHR läuft ohne Lizenzschlüssel, doch der kostenlose Modus begrenzt die Upload-Geschwindigkeit pro Schnittstelle auf 1 Mbps. Lizenzstufen (P1, P10, P-Unlimited) heben diese Grenze auf oder an und werden bei MikroTik erworben; eine Testphase ist möglich. Prüfen Sie den aktuellen Stand und wenden Sie eine an Ihr MikroTik-Konto gebundene Lizenz an:

Bash
1/system license print
2/system license renew account=MIKROTIK_ACCOUNT level=p1

✅ Überprüfung

Bestätigen Sie von Ihrem eigenen Rechner, dass der Router antwortet und nur SSH erreichbar ist:

Bash
1ssh USER@VPS_IP
2nmap -Pn -p 21,22,23,80,8291,8728 VPS_IP

In RouterOS sollte /system resource print die CHR-Version und /ip address print Ihre öffentliche Adresse zeigen.

🛠️ Fehlerbehebung

Nach dem Neustart weder Ping noch SSH. Öffnen Sie die VNC-Konsole. Ist /ip address print leer, wird in diesem Netz kein DHCP angeboten: Tragen Sie Adresse und Route aus Ihren Notizen manuell ein.

Der VPS startet wieder im alten Linux. Das Abbild wurde auf die falsche Platte geschrieben. Installieren Sie Linux neu oder nutzen Sie ein Rettungssystem, prüfen Sie lsblk und wiederholen Sie den Vorgang mit dem richtigen Ziel.

Der Upload bleibt bei etwa 1 Mbps hängen. Das ist die Grenze des kostenlosen CHR, kein Netzwerkfehler. Wenden Sie eine Lizenz wie oben gezeigt an.

🚀 Ihr VPS läuft jetzt mit RouterOS CHR: Bewahren Sie eine Sicherung der Konfiguration mit /export file=backup auf.