MikroTik CHR (RouterOS) на VPS: установка поверх Linux через dd

CHR (Cloud Hosted Router) — версия RouterOS для виртуальных машин. На VPS она превращается в полноценный MikroTik: WireGuard, L2TP/IPsec, OpenVPN, BGP, файрвол и Winbox. Готового образа в списке ОС может не быть, но это не мешает: загружаемся в любой Linux, записываем образ CHR прямо на системный диск и перезагружаемся. Понадобится сервер на tanaka.host с KVM и доступ к консоли в кабинете — после перезаписи диска SSH пропадёт.

Диск будет стёрт целиком. Всё, что было на сервере, пропадёт. Делайте это на свежей VM или после бэкапа.

1. Записать сетевые параметры

Пока работает Linux, узнайте адрес, маску и шлюз — в RouterOS их придётся ввести руками:

ip -4 -brief address show scope global
ip -4 route show default

Запишите вывод. Те же данные есть в кабинете tanaka.host в карточке сервера.

2. Скачать образ в оперативную память

Образ кладём в /dev/shm — это tmpfs в памяти, и перезапись диска его не затронет:

apt-get update && apt-get install -y curl unzip
cd /dev/shm
VERSION=$(curl -s https://upgrade.mikrotik.com/routeros/NEWESTa7.stable | cut -d' ' -f1)
echo $VERSION
curl -L -o chr.img.zip https://download.mikrotik.com/routeros/$VERSION/chr-$VERSION.img.zip
unzip chr.img.zip && rm chr.img.zip
ls -lh

echo $VERSION должен показать номер вроде 7.16.2. Если пусто — проверьте DNS и доступ к mikrotik.com. На AlmaLinux вместо apt-get — dnf install -y curl unzip.

3. Записать образ на диск

Сначала убедитесь, как называется системный диск — на KVM обычно vda, но бывает sda:

lsblk

Запись:

dd if=chr-$VERSION.img of=/dev/vda bs=4M oflag=sync status=progress

Если lsblk показал sda, подставьте /dev/sda. Команда идёт несколько секунд, ошибок быть не должно.

4. Перезагрузиться

Обычный reboot уже не сработает: системные файлы Linux затёрты. Используем магические команды ядра:

echo 1 > /proc/sys/kernel/sysrq
echo b > /proc/sysrq-trigger

SSH-сессия оборвётся сразу — это ожидаемо.

5. Войти через консоль

Откройте консоль сервера в кабинете tanaka.host. Через 20–40 секунд появится приглашение RouterOS. Логин admin, пароль пустой. RouterOS 7 сразу попросит задать новый — задайте и не забудьте, сбросить его без переустановки не получится.

6. Настроить сеть

Подставьте адрес и шлюз из шага 1. Для VPS маска почти всегда /32, а шлюз указывается через network=:

/ip address add address=203.0.113.10/32 network=203.0.113.1 interface=ether1
/ip route add dst-address=0.0.0.0/0 gateway=203.0.113.1
/ip dns set servers=1.1.1.1,8.8.8.8
/ping mikrotik.com count=4

Если сервер в сети с обычной маской (например, /24), укажите её вместо /32, а network= опустите. Пинг прошёл — сеть работает.

7. Открыть веб-интерфейс или Winbox

http://IP-сервера — WebFig, или Winbox по тому же IP с логином admin. Winbox удобнее, но для него нужен открытый порт 8291.

8. Снять ограничение скорости

Без лицензии CHR режет исходящий трафик до 1 Мбит/с. Пробная лицензия на 60 дней снимает лимит, нужен аккаунт на mikrotik.com:

/system license renew
/system license print

Команда спросит логин и пароль аккаунта MikroTik и уровень — для начала хватит p1. Через 60 дней лицензию нужно купить (p1 — бессрочная, лимит 1 Гбит/с) или остаться на 1 Мбит/с.

9. Закрыть лишнее

Роутер с публичным IP будут сканировать с первой минуты. Отключите службы, которыми не пользуетесь:

/ip service disable telnet,ftp,api,api-ssl
/ip service print

Оставьте ssh, winbox и www (или только www-ssl), а в /ip service set winbox address=ВАШ_IP/32 ограничьте доступ своим адресом. И сразу сохраните резервную копию:

/system backup save name=backup

Файл скачивается через WebFig в разделе Files или scp admin@IP:backup.backup ..

Частые проблемы

Симптом	Причина	Что делать
После перезагрузки снова Linux	образ записан не на тот диск или `dd` не завершился	повторить с правильным `of=` из `lsblk`, дождаться `status=progress` до конца
Чёрный экран в консоли	RouterOS грузится без вывода на VGA первые секунды	подождать минуту, нажать `Enter`
Нет пинга	опечатка в адресе или шлюзе	`/ip address print`, `/ip route print`; удалить лишнее `/ip address remove 0`, `/ip route remove 0` и добавить заново
Не открывается `http://IP`	служба www выключена или ограничена	`/ip service print`, включить `www`
Скорость 1 Мбит/с	нет лицензии	`/system license print`, шаг 8
Нужно вернуть Linux	—	переустановить ОС из кабинета tanaka.host, диск перезапишется

Дальше — поднять WireGuard или L2TP на новом роутере; базовые правила файрвола RouterOS смотрите в документации MikroTik.