Nejlepší VPS pro MikroTik CHR: srovnání podpory obrazů, ceny licencí a IPv6

Koupíte levný VPS jako koncový bod tunelu WireGuard ze směrovače za CGNAT. Stránka nahrávání v panelu požaduje soubor .iso. Stránka MikroTik CHR nabízí .img, .vmdk, .vhdx, .vhd, .vdi a .ova. ISO chybí.

Tento nesoulad je při výběru nejlepšího VPS pro MikroTik CHR prvním filtrem, ještě před cenou. Zbytek rozhodnou tři kontroly: cena licence CHR, IPv6 a zda pravidla poskytovatele dovolují vaše tunely.

Zkrácená verze

• MikroTik dodává CHR pouze jako obrazy disků, nikdy jako ISO. Před srovnáváním cen ověřte, jak poskytovatel dostane obraz na disk.
• Bezplatná licence CHR omezuje odesílání na 1 Mb/s na rozhraní. Tunelový uzel přeposílající provoz potřebuje alespoň P1: jednorázovou platbu 45 USD společnosti MikroTik.
• Pro doloženou instalaci ze záchranného systému s nízkými náklady zvolte Vultr. Hetzner Cloud CX23 nabízí v Německu a Finsku více RAM a přenosu za euro, jeho dostupnost se však mění; před výběrem ji ověřte.
• Pro předinstalovaný CHR bez vlastnoručního zápisu obrazu zvolte MonoVM, MVPS (jen Evropa a podmínky zakazují tunely GRE) nebo Cloudzy.

Jak se CHR dostane na disk VPS

Dokumentace MikroTik k CHR o souborech jasně říká: „jsou to pouze obrazy disků“. Samotný obraz CHR nelze nahrát jako ISO, takže zbývají čtyři případy. Poskytovatel CHR předinstaluje, nebo obraz zapíšete ze záchranného systému pomocí dd. Vlastní ISO MikroTik instaluje běžný RouterOS, nikoli CHR. Kontejnerový VPS nedokáže CHR vůbec zavést.

Nejrychlejší je předinstalovaný CHR, který poskytovatel připraví při objednávce nebo jako aplikaci na jedno kliknutí. Verzi RouterOS vybírá poskytovatel. Licenci stále kupujete vy, pokud poskytovatel výslovně neuvádí jinak.

Nejpružnější je záchranný systém a dd, kde si verzi CHR zvolíte sami. Spustíte záchranný Linux, buď režim poskytovatele, nebo záchranné ISO, například SystemRescue.

Nejprve si poznamenejte IPv4 adresu serveru, masku sítě a bránu. Pokud je dostupný firewall poskytovatele, omezte veřejný přístup ke správě před spuštěním surového obrazu. Poté obraz stáhněte, přepište jím virtuální disk a restartujte. Pro první přihlášení použijte konzoli: surový obraz CHR od MikroTik se spouští s účtem admin bez hesla. Než povolíte vzdálenou správu, nastavte silné heslo a pravidla firewallu IPv4 i IPv6. Pokud poskytovatel nepřiděluje adresy přes DHCP, nastavte je ručně z konzole.

Třetí případ je vlastní ISO MikroTik. Jde o instalátor RouterOS x86, takže jeho nahráním získáte běžný RouterOS s licencováním x86, odlišný produkt od CHR, popsaný níže v části o licencích.

Čtvrtý případ hledání rychle ukončí: je-li plán kontejnerový, hledejte dál. Požadavek na virtualizaci je v častých dotazech.

Úrovně licencí CHR a jejich dodatečné náklady

Licence CHR pochází od MikroTik, ne od poskytovatele. U VPS je to samostatná položka: jednorázově 0 až 250 USD. Licenční část MikroTik stanoví čtyři úrovně podle limitu odesílání na rozhraní:

Placené úrovně jsou trvalé. MikroTik to popisuje jako „kupte jednou, používejte navždy“. Trvalou licenci lze přenést na jinou instanci CHR, takže pozdější změna poskytovatele nevyžaduje druhou licenci. Přecházet lze z P1 na P10 či P-Unlimited a z P10 na P-Unlimited.

Podle mě je bezplatná licence pro testování a správu. S tímto limitem je uzel přeposílající zálohu NAS nebo relaci vzdálené plochy příliš pomalý pro praktické použití.

Pro každý uzel přenášející provoz pořiďte P1. P10 zvolte jen tehdy, když jedno rozhraní potřebuje odesílat přes 1 Gb/s. MikroTik při zvýšení úrovně účtuje plnou cenu nové licence, nikoli rozdíl 50 USD.

Každá placená úroveň má 60denní zkušební dobu, o kterou požádáte s účtem MikroTik.com.

Poznámka: v některých cloudech může klonovaná instance naběhnout se stejným SystemID jako originál. Stránka licenčních klíčů MikroTik uvádí, že po prvním spuštění máte provést /system license generate-new-id, dokud CHR používá bezplatnou licenci a před žádostí o zkoušku.

Poté požádejte o zkoušku přímo z CHR příkazem /system license renew.

Po vypršení zkoušky provoz pokračuje. MikroTik říká, že směrovač „dále funguje na stejné úrovni, ale aktualizace softwaru a změny balíčků jsou zakázány“. Stejně se chová instance, která pro obnovení licence nemůže kontaktovat server uživatelských účtů MikroTik.

Veřejně dostupný směrovač by neměl zůstat bez možnosti aktualizací. Licenci kupte a aktivujte před časem deadline-at zkoušky. Po nákupu pro aktivaci znovu spusťte /system license renew. Jestliže termín již uplynul, MikroTik popisuje licencování vypršelé instance klíčem Prepaid. Existující trvalou licenci nelze na vypršelou instanci přenést: vytvořte nový CHR, zaregistrujte ho pod stejným účtem a přeneste licenci před koncem jeho zkoušky.

VPS za 5,00 USD měsíčně stojí za dvanáct měsíců 60 USD. Přidejte P1 za 45 USD a první rok vyjde na 105 USD. Od druhého roku zbývá jen účet za VPS. U serveru v EU za 5,99 EUR měsíčně stojí rok 71,88 EUR plus stejných 45 USD pro MikroTik.

Instalace z ISO má jiné podmínky. VPS s RouterOS z instalátoru MikroTik x86 má 24hodinovou zkoušku, poté potřebuje klíč úrovně vázaný na tuto instalaci x86. Level 1 je bezplatná ukázka s jedním tunelem každého typu a jedním uživatelem HotSpot. Level 4 stojí 45 USD, Level 5 95 USD a Level 6 250 USD. Stránka licenčních klíčů MikroTik produkty rozlišuje:

„Dosud popsané úrovně licencí se nevztahují na Cloud Hosted Router (CHR).“ MikroTik, licenční klíče RouterOS

IPv6 na VPS s CHR

Nový CHR má v /ipv6 settings nastaveno forward=yes a výchozí hodnota accept-router-advertisements je yes-if-forwarding-disabled. Uzel přeposílá provoz, proto ignoruje oznámení směrovače poskytovatele, zprávy používané SLAAC ke konfiguraci adresy. Vnější rozhraní z nich globální adresu nezíská.

Referenční dokumentace IP nastavení MikroTik uvádí obě výchozí hodnoty. U poskytovatele oznamujícího IPv6 pomocí router advertisement povolte příjem jen na vnějším rozhraní k poskytovateli. Pro nový CHR, kde je tímto rozhraním ether1, vytvořte samostatný seznam rozhraní:

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

Na vnějším rozhraní je to bezpečné, protože CHR je na tomto spoji klientem směrovače poskytovatele. Pro příjem oznámení jen tam nastavte accept-router-advertisements-on, který přijímá seznam rozhraní a ve výchozím stavu zahrnuje všechna.

Po změně těchto nastavení IPv6 restartujte CHR a spusťte /ipv6 address print. Pokud poskytovatel oznamuje prefix vhodný pro SLAAC, získaná adresa se objeví na vnějším rozhraní s příznaky DG, tedy dynamická a globální.

Někteří poskytovatelé místo toho přidělují IPv6 staticky. Přidejte adresu z panelu na ether1, poté výchozí trasu přes bránu uvedenou v panelu. Nepředpokládejte bránu typu fe80::1. Použijte údaj z dokumentace poskytovatele.

Srovnání pěti poskytovatelů VPS pro CHR

U každého z pěti lze provozovat MikroTik CHR VPS dokumentovaným způsobem. MikroTik popisuje instalaci ze záchranného systému na Vultr a Hetzner Cloud, zatímco MonoVM a MVPS prodávají MikroTik VPS s předinstalovaným CHR. Každá základní konfigurace splňuje doporučení MikroTik na 1024 MiB RAM. Ceny byly ověřeny v říjnu 2026; jsou měsíční, bez daně a v měně daného poskytovatele.

Vultr

MikroTik sám dokumentuje instalaci na Vultr. Jeho návod pro Vultr nasadí server se SystemRescue z knihovny ISO Vultr. Pak stáhne surový obraz CHR, zapíše ho pomocí dd na /dev/vda a odpojí ISO. Stejný návod uvádí, že Vultr vyžaduje RouterOS 7.2.3 Stable nebo novější. Vultr také spouští vlastní soubor .iso z veřejného URL.

Konfigurace za 5,00 USD patří do předchozí generace Vultr: starší procesory Intel a běžné SSD místo NVMe. Tunelový uzel z disku čte málo, takže bych jen kvůli tomu nepřiplácel. Hodinová sazba 0,007 USD zlevňuje krátký zkušební start.

Z těchto poskytovatelů Vultr nabízí zákaznické relace BGP: směrovače Vultr navážou peering s vašimi. Požádáte v konzoli s vlastním ASN a IP prostorem nebo se soukromým ASN Vultr; potřebujete alespoň jednu aktivní instanci. Vultr dokumentuje VPN spojení mezi svým cloudem a sítěmi ve vlastní místní infrastruktuře zákazníka. Před objednávkou ověřte aktuální zásady přijatelného použití pro svůj tunelový protokol.

Hetzner Cloud

Na Hetzner Cloud zapisujete obraz CHR sami ze záchranného systému. Předinstalovaný CHR není a vlastní ISO vyžaduje žádost podpoře s přímým odkazem ke stažení. Návod MikroTik pro Hetzner popisuje postup: aktivujte záchranu linux64, přihlaste se přes SSH údaji z konzole a zapište obraz v jednom průchodu:

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

K 29. říjnu 2026 je nejnovější stabilní verze RouterOS 7.25. Před instalací ověřte na stránce MikroTik, zda není novější stabilní vydání, a po dokončení zápisu restartujte.

Uvedená cena CX23 5,49 EUR platí v Německu a Finsku, bez IPv4 za 0,50 EUR a DPH. Před objednávkou ověřte dostupnost CX23 v Hetzner Console. V USA má nejlevnější srovnatelný server 2 vCPU AMD, 2 GB, 40 GB NVMe a 1 TB za 17,49 EUR, také bez IPv4. Pro umístění v USA je tak Hetzner nejdražší zde uvedenou možností.

Účtování je hodinové, fakturuje se nižší z hodinového součtu a měsíční ceny. Ceny se změnily 15. června 2026, takže starší částky z fór už neplatí.

Návod MikroTik tvrdí, že funguje jakákoli varianta serveru. Příspěvek z roku 2026 na r/hetzner nesouhlasí. Autor hlásí, že nové instalace CHR nenaběhnou na rodinách Hetzner se sdílenými a vyhrazenými vCPU na AMD, zatímco sdílená řada Intel/AMD v tabulce ano. Také uvádí, že funkční instalace po změně konfigurace na rodinu AMD naběhne normálně. Jde o zprávu jednoho uživatele, ne potvrzenou chybu, ale uvedený americký server patří do této rodiny AMD.

Podmínky cloudu Hetzner zakazují těžbu kryptoměn, skenování cizích sítí a falešné zdrojové IP adresy. VPN ani tunelový provoz nezakazují.

MonoVM

MonoVM nainstaluje CHR za vás. Stránka uvádí „oficiální verze RouterOS připravené k výběru při nastavení“ a nepodporuje nahrání vlastních ISO. Začínáte verzí z nabídky MonoVM a vlastní sestavení spustit nemůžete.

Tabulka používá 1GB konfiguraci, protože 512MB tarif MonoVM za 8,99 USD je pod doporučením MikroTik. Stránka uvádí port až 10 Gb/s. S P1 CHR stále omezuje odesílání na 1 Gb/s na rozhraní, takže využití této rezervy vyžaduje P10 nebo vyšší licenci.

Podmínky zakazují skenování portů, DDoS útoky, spam, porušování autorských práv přes BitTorrent a provoz IRC. VPN ani tunely nezakazují.

MVPS

MVPS nasadí „výchozí obraz Mikrotik CHR bez konfigurace a bez licence“ asi za dvě minuty. Licenci koupíte u MikroTik nebo distributora. ISO produkt spouští jen obrazy z knihovny MVPS: „Vlastní obrazy ISO nejsou podporovány.“ Lokality jsou pouze evropské a IPv6 přichází jako blok /124 se 16 adresami.

Tady rozhodují podmínky. Seznam zakázaných činností MVPS zahrnuje „tunely GRE“, otevřené proxy, výstupní uzly Tor, otevřené DNS resolvery, fragmentaci UDP a podvrhování IP. EoIP také nepřipadá v úvahu, protože jej MikroTik staví na GRE.

WireGuard nebo IPsec se vyhnou omezení GRE, ale uzel musí dodržet ostatní podmínky MVPS včetně zákazu fragmentace UDP. Zapnete-li v DNS CHR allow-remote-requests, chraňte na veřejném rozhraní port 53 firewallem, jinak se router podle těchto podmínek považuje za otevřený resolver.

Cloudzy

Jsme jediný z pěti poskytovatelů, kde stejný tarif nabízí předinstalovaný CHR i nahrání vlastního ISO. Jedno kliknutí umístí funkční CHR na disk bez záchranné relace. Pozice pro ISO umožňuje spustit SystemRescue k zápisu konkrétního sestavení CHR nebo instalátor MikroTik x86 pro běžný RouterOS, bez přechodu na jiný server.

Náš CHR jedním kliknutím má omezený přístup. Správa je možná jen přes Winbox na TCP 8291 a konzoli VNC v panelu; SSH, Telnet, API, WWW a FTP jsou zpočátku vypnuté. Přihlásíte se jako admin (nebo root) počátečním heslem serveru; reset hesla v panelu toto přihlášení nemění.

Instalace jedním kliknutím vyžaduje alespoň 1 GB RAM. Po nasazení zkontrolujte verzi RouterOS ještě před žádostí o zkoušku.

Druhou cestou je naše nahrávání vlastního ISO. Přijímá zaváděcí soubory x86_64 .iso z URL nebo místního souboru, se spouštěním v režimu BIOS a UEFI.

Naše síť nabízí sdílený uplink 40 Gb/s s vyhrazenou kapacitou na VPS prostřednictvím QoS hypervizoru. Pro uzel P10, který ji využije, doporučujeme začít na 2 vCPU, 4 GB, 120 GB NVMe a 5 TB s měsíční ceníkovou cenou 14,48 USD.

Který poskytovatel se hodí pro kterou úlohu CHR

Pět poskytovatelů se liší ve dvou věcech. První je, kdo zapisuje obraz CHR na disk: vy ze záchranného systému, nebo poskytovatel při objednávce. Druhá je měsíční účet v potřebném regionu. Tunelový protokol může převážit obojí, protože jeden poskytovatel GRE zcela zakazuje.

• Nejvíce RAM a přenosu za euro, pokud vám nevadí záchranný shell: Hetzner Cloud v Německu nebo Finsku. Volba se mění, potřebujete-li USA, kde podobný server stojí asi trojnásobek, nebo CHR bez vlastnoručního zápisu obrazu.
• Nízká cena pro instalaci ze záchranného systému nebo relace BGP s poskytovatelem: Vultr. Volba se mění, chcete-li NVMe nebo předinstalovaný CHR.
• Nejnižší běžná ceníková cena předinstalovaného CHR v Evropě pro uzel WireGuard nebo IPsec: MVPS. Volba se mění, jakmile uzel přenáší GRE či EoIP nebo potřebujete vlastní ISO.
• Předinstalovaný CHR s verzí RouterOS vybranou při objednávce: MonoVM. Volba se mění, potřebujete-li sestavení, které MonoVM nenabízí, nebo je-li cena důležitější než výběr verze.
• CHR spuštěný dnes z panelu, bez záchranné relace, s možností později změnit sestavení RouterOS na stejném serveru: Cloudzy. Volba se mění, potřebujete-li BGP relaci s poskytovatelem.

Než uzel ponese provoz vašich lokalit, ověřte jeho start, získání zkušební licence a zakončení tunelů z lokalit za CGNAT. Náš MikroTik VPS zahrnuje vyhrazený IPv4 a adresu IPv6, uvádí zakončování tunelů mezi využitími, účtuje po hodinách a poskytuje 14denní záruku vrácení peněz. Lokalitu a konfiguraci zvolte na naší stránce MikroTik VPS.

Časté dotazy

Jakou licenci CHR potřebuji pro VPS?

Pro CHR na VPS, který přeposílá provoz, bych koupil P1: tabulka MikroTik uvádí odesílání 1 Gb/s na rozhraní za jednorázových 45 USD. Bezplatná licence se hodí jen na testy a správu. P10 (95 USD) nebo P-Unlimited (250 USD) mají smysl pouze tehdy, musí-li jedno rozhraní překročit 1 Gb/s.

Potřebuje MikroTik CHR KVM?

CHR potřebuje plnou hardwarovou virtualizaci, například KVM. MikroTik testuje CHR na VirtualBox, VMware, QEMU, Hyper-V (pouze generace 1) a Xen. Dokumentace upozorňuje, že „hypervizory poskytující paravirtualizaci nejsou podporovány“. Kontejner OpenVZ nebo LXC běží na jádře hostitele, ne vlastním, takže nemůže zavést disk CHR.

Mohu obraz CHR nahrát na VPS sám?

Ne jako ISO: MikroTik vydává CHR jen jako obrazy disků, například surový .img a .vmdk. Pokud poskytovatel nabízí záchranný systém nebo start záchranného ISO jako SystemRescue, můžete stáhnout surový obraz a přepsat virtuální disk pomocí dd. Jinak použijte poskytovatele s předinstalovaným CHR.

Jaký rychlostní limit má bezplatná licence CHR?

MikroTik omezuje bezplatný CHR na odesílání 1 Mb/s na rozhraní. Limit platí na provoz odesílaný každým rozhraním, takže na tunelovém uzlu ovlivní vše, co router přeposílá. P1 za jednorázových 45 USD jej zvedá na 1 Gb/s.

Použít MikroTik CHR, nebo aplikaci VPN serveru?

Pokud zařízení potřebují jen přístup k síti přes koncový bod WireGuard, aplikace serveru WireGuard na libovolném VPS to zvládne bez licenčního poplatku. CHR má smysl, pokud vaše lokality už používají RouterOS a v centrále chcete stejný firewall, směrování a skripty. To zahrnuje propojení lokalit s MikroTik, GRE či EoIP, směrování mezi více lokalitami a BGP přes tunely.