Instalacja MikroTik RouterOS CHR na VPS KVM

MikroTik Cloud Hosted Router (CHR) to wirtualna edycja RouterOS, idealna jako brama VPN, router laboratoryjny lub zapora przed innymi maszynami. Nie instaluje się go z ISO: surowy obraz dysku zapisuje się na dysk VPS. Ten poradnik prowadzi przez procedurę na VPS Linux Infrawire, wraz ze środkami ostrożności, które chronią przed odcięciem się od serwera.

Operacja destrukcyjna. Cała zawartość dysku VPS (system, dane, klucze SSH) zostanie skasowana bez możliwości odzyskania. Najpierw zrób kopię potrzebnych rzeczy i kontynuuj tylko na VPS, który możesz odbudować.

📋 Wymagania wstępne

VPS KVM z Ubuntu 24.04 lub Debian 12 i dostępem SSH jako root (w panelu klienta znajdziesz adres IP i hasło root VPS).
Co najmniej 1 GB RAM, ponieważ obraz jest rozpakowywany w pamięci.
Możliwość otwarcia konsoli VNC VPS jako siatki bezpieczeństwa, bo CHR nie przyjmie Twoich starych kluczy SSH.
Kopia zapasowa danych przechowywana poza VPS.

📝 Najpierw zanotuj ustawienia sieci

CHR startuje z pustą konfiguracją. Zapisz wartości, których potrzebujesz, jeśli DHCP nie jest dostępne:

Bash
1ip -4 addr show scope global
2ip -4 route show default
3ip -6 addr show scope global
4lsblk

Zachowaj VPS_IP/PREFIX, bramę domyślną (GATEWAY), nazwę interfejsu i nazwę dysku (zwykle /dev/vda, czasem /dev/sda).

💾 Pobranie obrazu i zapis na dysk

Pracuj w pamięci (/dev/shm), aby pobrany plik przetrwał nadpisanie. Numer wersji (CHR_VERSION) znajdziesz na stronie pobierania mikrotik.com, w kanale stable lub long-term.

Bash
1apt update && apt install -y unzip wget
2cd /dev/shm
3wget https://download.mikrotik.com/routeros/CHR_VERSION/chr-CHR_VERSION.img.zip
4unzip chr-CHR_VERSION.img.zip
5lsblk

Sprawdź jeszcze raz nazwę dysku, po czym zapisz obraz. To polecenie niszczy dysk docelowy:

Bash
1dd if=chr-CHR_VERSION.img of=/dev/vda bs=1M oflag=sync status=progress
2sync

Stary system już nie istnieje, więc zwykłe reboot może się nie powieść. Wymuś zamiast tego czysty restart przez jądro:

Bash
1echo 1 > /proc/sys/kernel/sysrq
2echo s > /proc/sysrq-trigger
3echo b > /proc/sysrq-trigger

🔑 Pierwsze logowanie i konfiguracja podstawowa

Otwórz konsolę VNC VPS. Zaloguj się jako admin z pustym hasłem; RouterOS może od razu poprosić o ustawienie nowego. Jeśli adres nie został nadany przez DHCP, ustaw go ręcznie:

Bash
1/ip address add address=VPS_IP/PREFIX interface=ether1
2/ip route add dst-address=0.0.0.0/0 gateway=GATEWAY
3/ip dns set servers=1.1.1.1,9.9.9.9
4/ping 1.1.1.1 count=3

Następnie utwórz własnego administratora i usuń domyślnego użytkownika, gdy zalogujesz się nowym kontem:

Bash
1/user add name=USER password=STRONG_PASSWORD group=full
2/user remove admin

🔒 Wyłączenie zbędnych usług

Publiczny router powinien udostępniać jak najmniej. Zostaw SSH i ogranicz je do własnego adresu:

Bash
1/ip service disable telnet,ftp,www,api,api-ssl
2/ip service set ssh address=ADMIN_IP/32
3/ip service set winbox address=ADMIN_IP/32
4/tool mac-server set allowed-interface-list=none
5/ip neighbor discovery-settings set discover-interface-list=none
6/ip service print

Zamień ADMIN_IP na publiczny adres IP, z którego administrujesz. Jeśli Twój adres się zmieni, popraw to przez konsolę VNC.

🎫 Licencja CHR

CHR działa bez klucza licencyjnego, ale tryb darmowy ogranicza prędkość wysyłania do 1 Mbps na interfejs. Poziomy licencji (P1, P10, P-Unlimited) znoszą lub podnoszą ten limit i kupuje się je w MikroTik, dostępny jest też okres próbny. Sprawdź bieżący stan i zastosuj licencję powiązaną z kontem MikroTik:

Bash
1/system license print
2/system license renew account=MIKROTIK_ACCOUNT level=p1

✅ Weryfikacja

Z własnego komputera sprawdź, czy router odpowiada i czy dostępny jest tylko SSH:

Bash
1ssh USER@VPS_IP
2nmap -Pn -p 21,22,23,80,8291,8728 VPS_IP

W RouterOS polecenie /system resource print powinno pokazać wersję CHR, a /ip address print Twój publiczny adres.

🛠️ Rozwiązywanie problemów

Brak pingu i SSH po restarcie. Otwórz konsolę VNC. Jeśli /ip address print jest puste, w tej sieci nie ma DHCP: zastosuj ręcznie adres i trasę z notatek.

VPS startuje ze starego Linuksa. Obraz zapisano na niewłaściwy dysk. Zainstaluj Linuksa ponownie lub użyj systemu ratunkowego, sprawdź lsblk i powtórz z właściwym celem.

Wysyłanie utknęło w okolicach 1 Mbps. To darmowy limit CHR, a nie awaria sieci. Zastosuj licencję, jak opisano wyżej.

🚀 Twój VPS działa teraz na RouterOS CHR: zachowaj kopię konfiguracji poleceniem /export file=backup.