MikroTik CHR 最佳 VPS：镜像支持、许可证费用与 IPv6 对比

你买了一台便宜的 VPS，想让它终结来自 CGNAT 后方路由器的 WireGuard 连接。面板的上传页面要求提供 .iso 文件，而 MikroTik 的 CHR 下载页面提供的是 .img、.vmdk、.vhdx、.vhd、.vdi 和 .ova。没有 ISO。

选择最适合 MikroTik CHR 的 VPS 时，首先要筛查的就是这个不匹配问题，价格反而在后。其余选择取决于三项检查：CHR 许可证费用、IPv6，以及主机商的条款是否允许你使用的隧道。

简短版本

• MikroTik 只以磁盘镜像形式提供 CHR，从不提供 ISO。因此，在比较价格之前，先确认主机商如何将镜像写入磁盘。
• CHR 免费许可证将每个接口的上传速度限制在 1 Mbps。转发流量的隧道枢纽至少需要 P1 许可证，向 MikroTik 一次性支付 45 美元。
• 如果愿意按照文档通过救援系统安装，又想控制费用，可选 Vultr。Hetzner Cloud 的 CX23 在德国和芬兰能以每欧元换来更多内存和流量，但是否可买取决于供货情况；选择前先查库存。
• 如果希望 CHR 已经预装好，不想自己写入镜像，可选 MonoVM、MVPS 或 Cloudzy。MVPS 仅在欧洲提供服务，其条款禁止 GRE 隧道。

如何将 CHR 装到 VPS 磁盘上

MikroTik 的 CHR 文档对下载内容说得很明确：“它们只是磁盘镜像。”CHR 镜像本身不能作为 ISO 上传，因此分为四种情况：主机商预装 CHR，或者你从救援系统使用 dd 写入镜像。MikroTik 自己的 ISO 安装的是标准 RouterOS，而非 CHR。容器型 VPS 则根本无法启动 CHR。

最快的方式是使用预装 CHR，由主机商在下单时配置，或者通过一键应用部署。RouterOS 版本由主机商选择。除非主机商另有说明，许可证仍需自行购买。

最灵活的方式是救援系统加 dd，CHR 版本由你选择。你需要启动救援 Linux，可以使用主机商的救援模式，也可以启动 SystemRescue 之类的救援 ISO。

首先记录服务器的 IPv4 地址、子网掩码和网关。如果提供商有防火墙，应在启动原始镜像之前限制公网管理访问。然后下载镜像，将其覆盖写入虚拟磁盘并重启。首次登录要使用控制台：MikroTik 的原始 CHR 镜像启动时使用 admin 账户，且没有密码。在开放远程管理之前，设置强密码，并配置 IPv4 和 IPv6 防火墙规则。如果主机商不通过 DHCP 分配地址，就从控制台手动设置。

第三种情况是使用 MikroTik 自己的 ISO。它是 RouterOS x86 安装程序，因此上传后获得的是采用 x86 许可的标准 RouterOS，与 CHR 是不同产品，下文许可证部分会说明。

第四种情况可以让你提前结束筛选：如果套餐基于容器，就换一家。虚拟化要求见常见问题。

CHR 许可证等级及其增加的费用

CHR 许可证来自 MikroTik，而非主机商。在 VPS 上，它是服务器套餐之外的单独费用，一次性支付 0 至 250 美元。MikroTik 的许可证说明按照每个接口的上传限速划分了四个等级：

付费等级都是永久许可证。MikroTik 的说法是“一次购买，永久使用”，而且永久许可证可以转移到另一个 CHR 实例，所以以后更换主机商无需再买一份。可从 P1 升级到 P10 或 P-Unlimited，也可从 P10 升级到 P-Unlimited。

我的看法是：免费许可证适合测试和管理。在这个限速下，枢纽若要转发 NAS 备份或远程桌面会话，速度慢到难以实用。

凡是承载流量的枢纽，都应购买 P1。只有单个接口必须超过 1 Gbps 时，才选择 P10。MikroTik 对等级升级收取全价，而不是补交 50 美元差价。

所有付费等级都有 60 天试用，申请时需要 MikroTik.com 账户。

注意：在某些云平台上，克隆实例启动后可能与原实例具有相同的 SystemID。MikroTik 的许可证密钥页面指出，应在首次启动后、CHR 仍使用免费许可证时、申请试用之前，运行 /system license generate-new-id。

然后在 CHR 本机上使用 /system license renew 申请试用。

试用到期后仍会运行。用 MikroTik 的话说，路由器“继续以相同等级运行，但软件更新和软件包更改将被禁用”。无法连接 MikroTik 账户服务器续期的实例，也会出现同样情况。

面向公网的路由器不应长期处于无法更新的状态。应在试用的 deadline-at 时间之前购买并激活许可证。购买后，再运行一次 /system license renew 使其生效。如果已过期，MikroTik 文档说明可以使用 Prepaid 密钥为过期实例授权。现有永久许可证无法转移到已过期的实例；若要采用转移方式，应部署新的 CHR，注册到同一账户，并在新实例试用到期前转移许可证。

月费 5.00 美元的 VPS，十二个月花费 60 美元。加上 45 美元的 P1，第一年总计 105 美元。从第二年起，只需继续支付 VPS 费用。若欧洲服务器月费为 5.99 欧元，则年费为 71.88 欧元，另向 MikroTik 支付同样的 45 美元。

通过 ISO 安装采用另一套规则。由 MikroTik x86 安装程序建立的 RouterOS VPS 有 24 小时试用，之后需要与该 x86 安装绑定的等级密钥。Level 1 是免费演示版，每种隧道各限一个，并允许一名 HotSpot 用户。Level 4 售价 45 美元，Level 5 为 95 美元，Level 6 为 250 美元。MikroTik 的许可证密钥页面明确区分了两者：

“此前描述的许可证等级不适用于 Cloud Hosted Router（CHR）。”MikroTik，《RouterOS 许可证密钥》

CHR VPS 上的 IPv6

新安装的 CHR 在 /ipv6 settings 中设置了 forward=yes，而 accept-router-advertisements 默认值为 yes-if-forwarding-disabled。枢纽需要转发流量，因此会忽略主机商发送的路由器通告，也就是 SLAAC 用于配置地址的消息，上行接口也就无法从中获得全局地址。

MikroTik 的 IP 设置参考文档列出了这两个默认值。如果主机商通过路由器通告发布 IPv6，只在面向提供商的上行接口启用接收。对于上行接口为 ether1 的全新 CHR，先创建专用接口列表：

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

在上行链路上这样做是安全的，因为 CHR 在该链路上是主机商路由器的客户端。要仅在此处接收通告，应设置 accept-router-advertisements-on。该设置接受接口列表，默认适用于所有接口。

更改这些 IPv6 设置后重启 CHR，再运行 /ipv6 address print。如果提供商通告的前缀适用于 SLAAC，学习到的地址会显示在上行接口上，并带有 DG 标记，分别表示动态和全局。

有些主机商改用静态 IPv6 分配。将面板显示的地址添加到 ether1，再通过面板指定的网关添加默认路由。不要擅自假设网关是 fe80::1 之类的地址，应使用主机商文档给出的值。

五家 CHR VPS 主机商对比

这五家都能通过有文档说明的方法运行 MikroTik CHR VPS。MikroTik 记录了 Vultr 和 Hetzner Cloud 的救援系统安装方法，而 MonoVM 和 MVPS 销售预装 CHR 的 MikroTik VPS。表中各家入门配置均满足 MikroTik 推荐的 1,024 MiB 内存。价格于 2026 年 10 月核查，均为各提供商本币计价的税前月费。

Vultr

MikroTik 自己记录了 Vultr 的安装方法。其 Vultr 指南先从 Vultr 的 ISO 库选择 SystemRescue 部署服务器，然后下载原始 CHR 镜像，使用 dd 写入 /dev/vda，最后移除 ISO。同一指南指出，Vultr 要求 RouterOS 7.2.3 Stable 或更高版本。Vultr 也能从公开 URL 启动你自己的 .iso。

5.00 美元的配置属于 Vultr 的上一代产品，使用较旧的 Intel CPU 和普通 SSD，而非 NVMe。隧道枢纽很少读取磁盘，所以我不会为了避开它而多付钱。每小时 0.007 美元的计费方式，让一次性的启动测试费用很低。

在这几家中，Vultr 提供客户 BGP 会话，即 Vultr 自己的路由器与你的路由器建立对等连接。你可以在控制台使用自己的 ASN 和 IP 地址空间，或者 Vultr 私有 ASN 提出申请，且至少需要一个运行中的实例。Vultr 的文档介绍了其云与本地网络之间的 VPN 连接。下单前请确认最新的可接受使用政策是否允许你的隧道协议。

Hetzner Cloud

在 Hetzner Cloud 上，需要从救援系统自行写入 CHR 镜像。它不预装 CHR，自定义 ISO 也需要向支持提交直接下载链接。MikroTik 的 Hetzner 指南记录了步骤：启用 linux64 救援系统，使用控制台显示的凭据通过 SSH 登录，然后一次写入镜像：

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

截至 2026 年 10 月 29 日，RouterOS 7.25 是最新稳定版。安装前请查看 MikroTik 下载页面是否有更新的稳定版本，镜像写入完成后再重启。

CX23 标价 5.49 欧元，适用于德国和芬兰，不含 0.50 欧元的 IPv4 费用和增值税。下单前请在 Hetzner Console 查询当前 CX23 供货情况。在美国，最便宜的可比服务器提供 AMD 2 vCPU、2 GB、40 GB NVMe 和 1 TB，月费 17.49 欧元，同样不含 IPv4。因此，若选美国机房，Hetzner 是此处几家中最贵的选项。

按小时计费，结算时取小时累计费用与月费两者中的较低值。价格于 2026 年 6 月 15 日调整，因此论坛上更早的数字已经过时。

MikroTik 的指南说，任何服务器选项都能用。一篇 2026 年的 r/hetzner 帖子提出了不同报告。发帖者称，在 Hetzner 基于 AMD 的共享和独享 vCPU 系列上，全新安装的 CHR 无法启动，但表中的 Intel/AMD 共享系列可以启动。他们还报告，将运行正常的实例调整到 AMD 系列后，仍可正常启动。这只是一位用户的报告，并非已确认的故障，但上文的美国服务器属于该 AMD 系列。

Hetzner 的云服务条款禁止加密货币挖矿、扫描他人网络以及使用虚假源 IP，但不禁止 VPN 或隧道流量。

MonoVM

MonoVM 会替你安装 CHR。其页面表示提供“官方 RouterOS 版本，可在设置时选择”，且不支持上传自定义 ISO。你需要从 MonoVM 提供的版本开始，不能启动自己的构建版本。

表中采用 1 GB 配置，因为 MonoVM 售价 8.99 美元的 512 MB 套餐低于 MikroTik 的建议值。该页面标注端口速度最高 10 Gbps。但在 P1 许可证下，CHR 仍将每个接口的上传速度限制在 1 Gbps，因此要利用额外带宽，需要 P10 或更高等级。

其条款禁止端口扫描、DDoS 攻击、垃圾邮件、通过 BitTorrent 侵犯版权以及 IRC，但不禁止 VPN 或隧道。

MVPS

MVPS 大约两分钟即可部署“默认的 Mikrotik CHR 镜像，没有任何配置，也不附带许可证”。许可证需从 MikroTik 或经销商购买。其 ISO 产品只能启动 MVPS 自有库中的镜像：“不支持自定义 ISO 镜像。”机房仅位于欧洲，IPv6 提供一个包含 16 个地址的 /124 地址块。

这里起决定作用的是条款。MVPS 的禁止活动列表包括“GRE 隧道”，以及开放代理、Tor 出口节点、开放 DNS 解析器、UDP 分片和 IP 欺骗。EoIP 也不行，因为 MikroTik 的 EoIP 基于 GRE。

WireGuard 或 IPsec 可以避开 GRE 限制，但枢纽仍须遵守 MVPS 的其他条款，包括禁止 UDP 分片。如果在 CHR 的 DNS 上启用 allow-remote-requests，就应在公网接口用防火墙限制 53 端口，否则按照这些条款，该路由器会被视为开放解析器。

Cloudzy

这五家中，只有我们在同一套餐中既提供预装 CHR，也允许上传自己的 ISO。一键部署无需救援操作，就能将可运行的 CHR 放到磁盘上。ISO 功能还可以启动 SystemRescue，写入特定 CHR 构建版本，或者启动 MikroTik 的 x86 安装程序来安装标准 RouterOS，而不用换服务器。

我们的一键 CHR默认限制了访问。管理仅通过 TCP 8291 上的 Winbox 和面板 VNC 控制台进行；SSH、Telnet、API、WWW 和 FTP 初始均禁用。使用服务器初始密码，以 admin（或 root）登录，面板中的密码重置不会更改该登录密码。

一键部署至少需要 1 GB 内存。部署后、申请试用前，先检查 RouterOS 版本。

第二种方法使用我们的自定义 ISO 上传功能。它接受通过 URL 或本地文件提供的可启动 x86_64 .iso 文件，支持 BIOS 和 UEFI 启动。

我们的网络提供 40 Gbps 共享上行链路，并通过虚拟化管理程序 QoS 为每台 VPS 分配专用带宽。若 P10 枢纽要利用它，我们建议从 2 vCPU、4 GB、120 GB NVMe 和 5 TB 配置起步，标价为每月 14.48 美元。

哪家主机商适合哪种 CHR 用途

五家主机商主要区别在两点。首先是谁把 CHR 镜像写入磁盘：由你在救援系统中操作，还是由主机商在下单时完成。其次是所需地区的月费。但隧道协议可能优先于这两项，因为其中一家完全禁止 GRE。

• 想让每欧元换来最多内存和流量，而且不介意使用救援 shell：选择德国或芬兰的 Hetzner Cloud。如果需要美国机房，同等服务器价格约为三倍，或者想要不必自行写镜像的 CHR，就应改变选择。
• 希望以较低费用通过救援系统安装，或者需要与提供商建立 BGP 会话：选 Vultr。如果需要 NVMe 存储或预装 CHR，就应改变选择。
• 在欧洲为 WireGuard 或 IPsec 枢纽选择预装 CHR，并看重最低常规标价：选 MVPS。一旦枢纽承载 GRE 或 EoIP，或需要自己的 ISO，就应改变选择。
• 希望预装 CHR，并在下单时选择 RouterOS 版本：选 MonoVM。如果需要的构建版本不在 MonoVM 的选项中，或者价格比版本选择更重要，就应改变选择。
• 今天就想从面板运行 CHR，不做救援操作，并希望以后能在同一服务器上更换 RouterOS 构建版本：选 Cloudzy。如果需要与提供商建立 BGP 会话，就应改变选择。

在让枢纽承载各站点的流量之前，你应先确认它能够启动、获得许可证试用，并终结来自 CGNAT 站点的隧道。我们的 MikroTik VPS 包含专用 IPv4 地址和 IPv6 地址，将隧道终结列为用途，并采用按小时计费，提供 14 天退款保证。请在我们的 MikroTik VPS 页面选择机房与配置。

常见问题

VPS 应选择哪种 CHR 许可证？

对于在 VPS 上转发流量的 CHR，我会购买 P1。按照 MikroTik 的许可证表，它将每个接口的上传限速设为 1 Gbps，价格为一次性 45 美元。免费许可证仅适合测试和管理。只有单个接口必须超过 1 Gbps 时，P10（95 美元）或 P-Unlimited（250 美元）才有意义。

MikroTik CHR 必须使用 KVM 吗？

CHR 需要完整的硬件虚拟化，例如 KVM。MikroTik 在 VirtualBox、VMware、QEMU、Hyper-V（仅第 1 代）和 Xen 上测试 CHR。其文档提醒：“不支持提供半虚拟化的虚拟机管理程序。”OpenVZ 或 LXC 容器运行于宿主机内核，而不是自己的内核，因此无法启动 CHR 磁盘。

我能自行将 CHR 镜像上传到 VPS 吗？

不能作为 ISO 上传，因为 MikroTik 只以磁盘镜像形式发布 CHR，例如原始 .img 和 .vmdk。如果主机商提供救援系统，或允许启动 SystemRescue 之类的救援 ISO，你可以下载原始镜像，并用 dd 将其覆盖写入虚拟磁盘。否则，应使用预装 CHR 的主机商。

CHR 免费许可证的速度限制是多少？

MikroTik 将 CHR 免费许可证的每接口上传速度限制在 1 Mbps。该上限适用于 CHR 从每个接口发出的流量，因此在隧道枢纽上，它会限制路由器转发的所有流量。一次性支付 45 美元购买 P1 许可证后，上限提高到 1 Gbps。

该用 MikroTik CHR，还是 VPN 服务器应用？

如果设备只需要通过 WireGuard 端点访问网络，任意 VPS 上的 WireGuard 服务器应用就能完成任务，而且没有许可证费用。如果各站点已经运行 RouterOS，而你希望枢纽使用相同的防火墙、路由和脚本，CHR 就有其价值。这包括 MikroTik 设备之间的站点互联、GRE 或 EoIP、多站点路由以及隧道上的 BGP。