Instalar o MikroTik RouterOS CHR num VPS KVM

O MikroTik Cloud Hosted Router (CHR) é a edição virtual do RouterOS, ideal como gateway VPN, router de laboratório ou firewall à frente de outras máquinas. Não se instala por ISO: grava-se a imagem de disco bruta sobre o disco do VPS. Este guia percorre o procedimento num VPS Linux Infrawire, com as precauções que evitam ficar trancado do lado de fora.

Operação destrutiva. Todo o conteúdo do disco do VPS (sistema, dados, chaves SSH) é apagado e não pode ser recuperado. Faça antes uma cópia do que precisa e continue apenas num VPS que possa reconstruir.

📋 Pré-requisitos

Um VPS KVM com Ubuntu 24.04 ou Debian 12 e acesso SSH root (na sua área de cliente encontra o IP e a senha root do VPS).
Pelo menos 1 GB de RAM, pois a imagem é descompactada na memória.
Uma forma de abrir o console VNC do VPS como rede de segurança, já que o CHR não aceitará as suas chaves SSH antigas.
Uma cópia de segurança dos seus dados guardada fora do VPS.

📝 Anote primeiro as definições de rede

O CHR arranca com uma configuração vazia. Anote os valores de que vai precisar se o DHCP não for oferecido:

Bash
1ip -4 addr show scope global
2ip -4 route show default
3ip -6 addr show scope global
4lsblk

Guarde VPS_IP/PREFIX, o gateway padrão (GATEWAY), o nome da interface e o do disco (normalmente /dev/vda, às vezes /dev/sda).

💾 Baixar a imagem e gravá-la no disco

Trabalhe a partir da memória (/dev/shm) para que o download sobreviva à sobrescrita. Obtenha o número da versão (CHR_VERSION) na página de downloads do mikrotik.com, canal estável ou long-term.

Bash
1apt update && apt install -y unzip wget
2cd /dev/shm
3wget https://download.mikrotik.com/routeros/CHR_VERSION/chr-CHR_VERSION.img.zip
4unzip chr-CHR_VERSION.img.zip
5lsblk

Confirme mais uma vez o nome do disco e grave a imagem. Este comando destrói o disco de destino:

Bash
1dd if=chr-CHR_VERSION.img of=/dev/vda bs=1M oflag=sync status=progress
2sync

O sistema antigo desapareceu, por isso um simples reboot pode falhar. Force em vez disso um reinício limpo pelo kernel:

Bash
1echo 1 > /proc/sys/kernel/sysrq
2echo s > /proc/sysrq-trigger
3echo b > /proc/sysrq-trigger

🔑 Primeiro acesso e configuração básica

Abra o console VNC do VPS. Entre como admin com senha vazia; o RouterOS pode pedir que defina uma logo de seguida. Se nenhum endereço foi recebido por DHCP, configure-o à mão:

Bash
1/ip address add address=VPS_IP/PREFIX interface=ether1
2/ip route add dst-address=0.0.0.0/0 gateway=GATEWAY
3/ip dns set servers=1.1.1.1,9.9.9.9
4/ping 1.1.1.1 count=3

Depois crie o seu próprio administrador e remova o utilizador padrão quando tiver entrado com a nova conta:

Bash
1/user add name=USER password=STRONG_PASSWORD group=full
2/user remove admin

🔒 Desativar serviços desnecessários

Um router público deve expor o mínimo possível. Mantenha o SSH e restrinja-o ao seu próprio endereço:

Bash
1/ip service disable telnet,ftp,www,api,api-ssl
2/ip service set ssh address=ADMIN_IP/32
3/ip service set winbox address=ADMIN_IP/32
4/tool mac-server set allowed-interface-list=none
5/ip neighbor discovery-settings set discover-interface-list=none
6/ip service print

Substitua ADMIN_IP pelo IP público a partir do qual administra. Se o seu endereço mudar, corrija-o pelo console VNC.

🎫 Licença do CHR

O CHR funciona sem chave de licença, mas o modo gratuito limita a velocidade de upload a 1 Mbps por interface. Os níveis de licença (P1, P10, P-Unlimited) removem ou ampliam esse limite e são adquiridos à MikroTik, com período de avaliação disponível. Verifique o estado atual e aplique uma licença associada à sua conta MikroTik:

Bash
1/system license print
2/system license renew account=MIKROTIK_ACCOUNT level=p1

✅ Verificação

No seu próprio computador, confirme que o router responde e que só o SSH está acessível:

Bash
1ssh USER@VPS_IP
2nmap -Pn -p 21,22,23,80,8291,8728 VPS_IP

No RouterOS, /system resource print deve mostrar a versão do CHR e /ip address print o seu endereço público.

🛠️ Solução de problemas

Sem ping nem SSH após o reinício. Abra o console VNC. Se /ip address print estiver vazio, esta rede não oferece DHCP: aplique o endereço e a rota manuais das suas notas.

O VPS volta a arrancar no Linux antigo. A imagem foi gravada no disco errado. Reinstale o Linux ou use um sistema de recuperação, verifique lsblk e repita com o destino correto.

O upload fica preso perto de 1 Mbps. É o limite gratuito do CHR, não uma falha de rede. Aplique uma licença como indicado acima.

🚀 O seu VPS já executa o RouterOS CHR: guarde uma cópia da configuração com /export file=backup.