Installer MikroTik RouterOS CHR sur un VPS KVM

MikroTik Cloud Hosted Router (CHR) est l'édition virtuelle de RouterOS, idéale pour une passerelle VPN, un routeur de laboratoire ou un pare-feu devant d'autres machines. Il ne s'installe pas par ISO : on écrit l'image disque brute par-dessus le disque du VPS. Ce guide détaille la procédure sur un VPS Linux Infrawire, avec les précautions qui évitent de se verrouiller dehors.

Opération destructive. Tout le contenu du disque du VPS (système, données, clés SSH) est effacé et irrécupérable. Sauvegardez d'abord ce dont vous avez besoin et ne continuez que sur un VPS que vous pouvez reconstruire.

📋 Prérequis

Un VPS KVM sous Ubuntu 24.04 ou Debian 12 avec accès SSH root (depuis votre espace client vous retrouvez l'IP et le mot de passe root du VPS).
Au moins 1 Go de RAM, car l'image est décompressée en mémoire.
Un moyen d'ouvrir la console VNC du VPS comme filet de sécurité, car CHR n'acceptera pas vos anciennes clés SSH.
Une sauvegarde de vos données stockée hors du VPS.

📝 Noter d'abord les paramètres réseau

CHR démarre avec une configuration vierge. Notez les valeurs dont vous aurez besoin si le DHCP n'est pas proposé :

Bash
1ip -4 addr show scope global
2ip -4 route show default
3ip -6 addr show scope global
4lsblk

Conservez VPS_IP/PREFIX, la passerelle par défaut (GATEWAY), le nom de l'interface et celui du disque (généralement /dev/vda, parfois /dev/sda).

💾 Télécharger l'image et l'écrire sur le disque

Travaillez en mémoire (/dev/shm) pour que le téléchargement survive à l'écrasement. Récupérez le numéro de version (CHR_VERSION) sur la page de téléchargement de mikrotik.com, canal stable ou long-term.

Bash
1apt update && apt install -y unzip wget
2cd /dev/shm
3wget https://download.mikrotik.com/routeros/CHR_VERSION/chr-CHR_VERSION.img.zip
4unzip chr-CHR_VERSION.img.zip
5lsblk

Vérifiez encore le nom du disque, puis écrivez l'image. Cette commande détruit le disque cible :

Bash
1dd if=chr-CHR_VERSION.img of=/dev/vda bs=1M oflag=sync status=progress
2sync

L'ancien système a disparu, un simple reboot peut donc échouer. Forcez plutôt un redémarrage propre via le noyau :

Bash
1echo 1 > /proc/sys/kernel/sysrq
2echo s > /proc/sysrq-trigger
3echo b > /proc/sysrq-trigger

🔑 Première connexion et configuration de base

Ouvrez la console VNC du VPS. Connectez-vous en admin avec un mot de passe vide ; RouterOS peut vous demander d'en définir un tout de suite. Si aucune adresse n'a été reçue par DHCP, configurez-la à la main :

Bash
1/ip address add address=VPS_IP/PREFIX interface=ether1
2/ip route add dst-address=0.0.0.0/0 gateway=GATEWAY
3/ip dns set servers=1.1.1.1,9.9.9.9
4/ping 1.1.1.1 count=3

Créez ensuite votre propre administrateur, puis supprimez le compte par défaut une fois connecté avec le nouveau :

Bash
1/user add name=USER password=STRONG_PASSWORD group=full
2/user remove admin

🔒 Désactiver les services inutiles

Un routeur public doit exposer le strict minimum. Gardez SSH, en le limitant à votre propre adresse :

Bash
1/ip service disable telnet,ftp,www,api,api-ssl
2/ip service set ssh address=ADMIN_IP/32
3/ip service set winbox address=ADMIN_IP/32
4/tool mac-server set allowed-interface-list=none
5/ip neighbor discovery-settings set discover-interface-list=none
6/ip service print

Remplacez ADMIN_IP par l'IP publique depuis laquelle vous administrez. Si votre adresse change, corrigez-la via la console VNC.

🎫 Licence CHR

CHR fonctionne sans clé de licence, mais le mode gratuit limite le débit montant à 1 Mbps par interface. Les niveaux de licence (P1, P10, P-Unlimited) lèvent ou relèvent cette limite et s'achètent auprès de MikroTik, avec une période d'essai possible. Vérifiez l'état actuel et appliquez une licence liée à votre compte MikroTik :

Bash
1/system license print
2/system license renew account=MIKROTIK_ACCOUNT level=p1

✅ Vérification

Depuis votre ordinateur, confirmez que le routeur répond et que seul SSH est joignable :

Bash
1ssh USER@VPS_IP
2nmap -Pn -p 21,22,23,80,8291,8728 VPS_IP

Dans RouterOS, /system resource print doit afficher la version de CHR et /ip address print votre adresse publique.

🛠️ Dépannage

Ni ping ni SSH après le redémarrage. Ouvrez la console VNC. Si /ip address print est vide, le DHCP n'est pas proposé sur ce réseau : appliquez l'adresse et la route manuelles de vos notes.

Le VPS redémarre sur l'ancien Linux. L'image a été écrite sur le mauvais disque. Réinstallez Linux ou utilisez un système de secours, vérifiez lsblk et recommencez avec la bonne cible.

Le débit montant reste bloqué vers 1 Mbps. C'est la limite gratuite de CHR, pas une panne réseau. Appliquez une licence comme indiqué plus haut.

🚀 Votre VPS exécute désormais RouterOS CHR : conservez une sauvegarde de sa configuration avec /export file=backup.