Instalar MikroTik RouterOS CHR en un VPS KVM

MikroTik Cloud Hosted Router (CHR) es la edición virtual de RouterOS, ideal como pasarela VPN, router de laboratorio o cortafuegos delante de otras máquinas. No se instala con una ISO: se escribe la imagen de disco en bruto sobre el disco del VPS. Esta guía recorre el procedimiento en un VPS Linux Infrawire, con las precauciones que evitan quedarte fuera.

Operación destructiva. Todo el contenido del disco del VPS (sistema, datos, claves SSH) se borra y no se puede recuperar. Haz antes una copia de lo que necesites y continúa solo en un VPS que puedas reconstruir.

📋 Requisitos previos

Un VPS KVM con Ubuntu 24.04 o Debian 12 y acceso SSH como root (desde tu área de cliente encuentras la IP y la contraseña root del VPS).
Al menos 1 GB de RAM, porque la imagen se descomprime en memoria.
Una forma de abrir la consola VNC del VPS como red de seguridad, ya que CHR no aceptará tus antiguas claves SSH.
Una copia de seguridad de tus datos guardada fuera del VPS.

📝 Anota primero los parámetros de red

CHR arranca con una configuración vacía. Anota los valores que necesitarás si no se ofrece DHCP:

Bash
1ip -4 addr show scope global
2ip -4 route show default
3ip -6 addr show scope global
4lsblk

Conserva VPS_IP/PREFIX, la puerta de enlace predeterminada (GATEWAY), el nombre de la interfaz y el del disco (normalmente /dev/vda, a veces /dev/sda).

💾 Descargar la imagen y escribirla en el disco

Trabaja desde la memoria (/dev/shm) para que la descarga sobreviva a la sobrescritura. Obtén el número de versión (CHR_VERSION) en la página de descargas de mikrotik.com, canal estable o long-term.

Bash
1apt update && apt install -y unzip wget
2cd /dev/shm
3wget https://download.mikrotik.com/routeros/CHR_VERSION/chr-CHR_VERSION.img.zip
4unzip chr-CHR_VERSION.img.zip
5lsblk

Comprueba otra vez el nombre del disco y escribe la imagen. Este comando destruye el disco de destino:

Bash
1dd if=chr-CHR_VERSION.img of=/dev/vda bs=1M oflag=sync status=progress
2sync

El sistema antiguo ya no existe, así que un simple reboot puede fallar. Fuerza en su lugar un reinicio limpio a través del kernel:

Bash
1echo 1 > /proc/sys/kernel/sysrq
2echo s > /proc/sysrq-trigger
3echo b > /proc/sysrq-trigger

🔑 Primer acceso y configuración básica

Abre la consola VNC del VPS. Entra como admin con contraseña vacía; RouterOS puede pedirte que definas una de inmediato. Si no se recibió dirección por DHCP, configúrala a mano:

Bash
1/ip address add address=VPS_IP/PREFIX interface=ether1
2/ip route add dst-address=0.0.0.0/0 gateway=GATEWAY
3/ip dns set servers=1.1.1.1,9.9.9.9
4/ping 1.1.1.1 count=3

Después crea tu propio administrador y elimina el usuario por defecto cuando hayas entrado con la cuenta nueva:

Bash
1/user add name=USER password=STRONG_PASSWORD group=full
2/user remove admin

🔒 Desactivar servicios innecesarios

Un router público debe exponer lo mínimo. Conserva SSH y restríngelo a tu propia dirección:

Bash
1/ip service disable telnet,ftp,www,api,api-ssl
2/ip service set ssh address=ADMIN_IP/32
3/ip service set winbox address=ADMIN_IP/32
4/tool mac-server set allowed-interface-list=none
5/ip neighbor discovery-settings set discover-interface-list=none
6/ip service print

Sustituye ADMIN_IP por la IP pública desde la que administras. Si tu dirección cambia, corrígela desde la consola VNC.

🎫 Licencia de CHR

CHR funciona sin clave de licencia, pero el modo gratuito limita la velocidad de subida a 1 Mbps por interfaz. Los niveles de licencia (P1, P10, P-Unlimited) eliminan o amplían ese límite y se adquieren en MikroTik, con un periodo de prueba disponible. Comprueba el estado actual y aplica una licencia vinculada a tu cuenta de MikroTik:

Bash
1/system license print
2/system license renew account=MIKROTIK_ACCOUNT level=p1

✅ Verificación

Desde tu propio ordenador, confirma que el router responde y que solo SSH es accesible:

Bash
1ssh USER@VPS_IP
2nmap -Pn -p 21,22,23,80,8291,8728 VPS_IP

En RouterOS, /system resource print debe mostrar la versión de CHR y /ip address print tu dirección pública.

🛠️ Solución de problemas

Sin ping ni SSH tras el reinicio. Abre la consola VNC. Si /ip address print está vacío, esta red no ofrece DHCP: aplica la dirección y la ruta manuales de tus notas.

El VPS arranca de nuevo en el Linux antiguo. La imagen se escribió en el disco equivocado. Reinstala Linux o usa un sistema de rescate, revisa lsblk y repite con el destino correcto.

La subida se queda cerca de 1 Mbps. Es el límite gratuito de CHR, no un fallo de red. Aplica una licencia como se indica arriba.

🚀 Tu VPS ya ejecuta RouterOS CHR: guarda una copia de su configuración con /export file=backup.