Bester VPS für MikroTik CHR: Image-Unterstützung, Lizenzkosten und IPv6 im Vergleich

Sie kaufen einen günstigen VPS, um WireGuard von einem Router hinter CGNAT zu terminieren. Die Upload-Seite im Panel verlangt eine .iso-Datei. MikroTiks CHR-Downloadseite bietet .img, .vmdk, .vhdx, .vhd, .vdi und .ova. Ein ISO gibt es nicht.

Diese Unvereinbarkeit ist bei der Wahl des besten VPS für MikroTik CHR das erste Auswahlkriterium, noch vor dem Preis. Drei Prüfungen klären den Rest: die CHR-Lizenzkosten, IPv6 und ob die Regeln des Hosters Ihre Tunnel erlauben.

Die Kurzfassung

• MikroTik liefert CHR nur als Datenträger-Images, nie als ISO. Prüfen Sie deshalb vor dem Preisvergleich, wie ein Hoster dieses Image auf den Datenträger bringt.
• Die kostenlose CHR-Lizenz begrenzt den Upload auf 1 Mbit/s pro Schnittstelle. Ein Tunnel-Hub, der Verkehr weiterleitet, benötigt mindestens eine P1-Lizenz, die einmalig 45 $ bei MikroTik kostet.
• Für eine dokumentierte Installation über ein Rettungssystem mit niedrigen Kosten wählen Sie Vultr. Hetzner Clouds CX23 bietet in Deutschland und Finnland mehr RAM und Datentransfer pro Euro, ist aber nur nach Verfügbarkeit erhältlich. Prüfen Sie den Bestand vor der Wahl.
• Für ein vorinstalliertes CHR, ohne das Image selbst zu schreiben, wählen Sie MonoVM, MVPS (nur Europa, und GRE-Tunnel sind laut Bedingungen verboten) oder Cloudzy.

Wie CHR auf den Datenträger eines VPS gelangt

MikroTiks CHR-Dokumentation stellt zu den Downloads klar: „Es handelt sich nur um Datenträger-Images.“ Das CHR-Image selbst lässt sich nicht als ISO hochladen. Damit bleiben vier Fälle: Der Hoster installiert CHR vor, oder Sie schreiben das Image aus einem Rettungssystem mit dd. MikroTiks eigenes ISO installiert das normale RouterOS, nicht CHR. Ein Container-VPS kann CHR überhaupt nicht starten.

Am schnellsten geht es mit einem vorinstallierten CHR, das der Hoster bei der Bestellung oder als One-Click-App einrichtet. Der Hoster wählt die RouterOS-Version. Sofern er nichts anderes angibt, müssen Sie die Lizenz weiterhin selbst kaufen.

Am flexibelsten ist ein Rettungssystem mit dd, bei dem Sie die CHR-Version wählen. Sie starten ein Rettungs-Linux, entweder im Rettungsmodus des Hosters oder über ein Rettungs-ISO wie SystemRescue.

Notieren Sie zuerst IPv4-Adresse, Netzmaske und Gateway des Servers. Beschränken Sie vor dem Start des Raw-Images den öffentlichen Verwaltungszugriff mit der Firewall des Anbieters, soweit verfügbar. Laden Sie dann das Image herunter, überschreiben Sie damit den virtuellen Datenträger und starten Sie neu. Verwenden Sie für die erste Anmeldung die Konsole: MikroTiks Raw-CHR-Image startet mit dem Konto admin ohne Passwort. Setzen Sie ein starkes Passwort und konfigurieren Sie IPv4- und IPv6-Firewallregeln, bevor Sie die Fernverwaltung öffnen. Falls der Hoster keine Adressen per DHCP vergibt, richten Sie diese manuell über die Konsole ein.

Der dritte Fall ist MikroTiks eigenes ISO. Es ist das RouterOS-x86-Installationsprogramm. Sein Upload ergibt normales RouterOS mit x86-Lizenzierung, ein anderes Produkt als CHR, das unten im Lizenzabschnitt behandelt wird.

Der vierte Fall beendet die Suche frühzeitig: Basiert der Tarif auf Containern, suchen Sie weiter. Die Virtualisierungsanforderung steht in den FAQ.

CHR-Lizenzstufen und ihre zusätzlichen Kosten

Eine CHR-Lizenz stammt von MikroTik, nicht vom Hoster. Bei einem VPS ist sie ein eigener Kostenpunkt von einmalig 0 bis 250 $. MikroTiks Lizenzabschnitt legt vier Stufen fest, definiert durch das Upload-Limit pro Schnittstelle:

Die kostenpflichtigen Stufen sind unbefristet. MikroTik formuliert es als „einmal kaufen, für immer nutzen“. Eine unbefristete Lizenz lässt sich auf eine andere CHR-Instanz übertragen, sodass ein späterer Hosterwechsel keine zweite Lizenz erfordert. Upgrades sind von P1 auf P10 oder P-Unlimited sowie von P10 auf P-Unlimited möglich.

Meine Einschätzung: Die kostenlose Lizenz eignet sich für Tests und Verwaltung. Mit diesem Limit ist ein Hub, der ein NAS-Backup oder eine Remotedesktop-Sitzung weiterleitet, für den praktischen Einsatz zu langsam.

Verwenden Sie für jeden Hub, der Verkehr weiterleitet, eine P1-Lizenz. Wählen Sie P10 nur, wenn eine einzelne Schnittstelle mehr als 1 Gbit/s übertragen muss. MikroTik berechnet für ein Upgrade den vollen Preis der Stufe, nicht nur einen Differenzbetrag von 50 $.

Für jede kostenpflichtige Stufe gibt es eine 60-tägige Testversion. Zur Beantragung benötigen Sie ein MikroTik.com-Konto.

Hinweis: In manchen Clouds kann eine geklonte Instanz mit derselben SystemID wie das Original starten. Laut MikroTiks Lizenzschlüsselseite sollten Sie nach dem ersten Start /system license generate-new-id ausführen, solange CHR noch die kostenlose Lizenz nutzt und bevor Sie eine Testlizenz beantragen.

Fordern Sie die Testlizenz anschließend direkt aus CHR mit /system license renew an.

Eine abgelaufene Testversion läuft weiter. Laut MikroTik arbeitet der Router „weiter auf derselben Stufe; Softwareupdates und Paketänderungen sind deaktiviert“. Eine Instanz, die MikroTiks Kontoserver zur Verlängerung nicht erreichen kann, verhält sich ebenso.

Ein öffentlich erreichbarer Router, der keine Updates mehr erhalten kann, sollte nicht in diesem Zustand bleiben. Kaufen und aktivieren Sie die Lizenz vor dem deadline-at-Zeitpunkt der Testversion. Führen Sie nach dem Kauf erneut /system license renew zur Aktivierung aus. Ist die Frist bereits verstrichen, dokumentiert MikroTik die Lizenzierung der abgelaufenen Instanz mit einem Prepaid-Schlüssel. Eine vorhandene unbefristete Lizenz lässt sich nicht auf eine abgelaufene Instanz übertragen. Dafür müssen Sie ein neues CHR bereitstellen, unter demselben Konto registrieren und die Lizenz vor Ablauf seiner Testphase übertragen.

Ein VPS für 5,00 $ im Monat kostet über zwölf Monate 60 $. Mit P1 für 45 $ ergeben sich im ersten Jahr 105 $. Ab dem zweiten Jahr bleibt nur die VPS-Rechnung. Bei einem EU-Server für 5,99 € monatlich sind es jährlich 71,88 € plus dieselben 45 $ an MikroTik.

Eine ISO-Installation folgt einem anderen Modell. Ein RouterOS-VPS aus MikroTiks x86-Installer läuft zunächst als 24-stündige Testversion und benötigt danach einen Stufenschlüssel, dessen Lizenz an diese x86-Installation gebunden ist. Level 1 ist eine kostenlose Demo mit einem Tunnel je Typ und einem HotSpot-Benutzer. Level 4 kostet 45 $, Level 5 95 $ und Level 6 250 $. MikroTiks Lizenzschlüsselseite grenzt dies ab:

„Die bisher beschriebenen Lizenzstufen gelten nicht für Cloud Hosted Router (CHR).“ MikroTik, RouterOS-Lizenzschlüssel

IPv6 auf einem CHR-VPS

Ein neues CHR hat unter /ipv6 settings die Einstellung forward=yes, und accept-router-advertisements steht standardmäßig auf yes-if-forwarding-disabled. Ein Hub leitet Verkehr weiter. Daher ignoriert er die Router Advertisements des Hosters, mit denen SLAAC eine Adresse konfiguriert, und der Uplink erhält darüber keine globale Adresse.

MikroTiks Referenz der IP-Einstellungen nennt beide Standardwerte. Bei einem Hoster, der IPv6 per Router Advertisement ankündigt, aktivieren Sie den Empfang nur am Uplink zum Anbieter. Erstellen Sie für ein neues CHR mit ether1 als Uplink eine eigene Schnittstellenliste:

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

Am Uplink ist dies sicher, weil CHR auf dieser Verbindung Client des Host-Routers ist. Um Advertisements nur dort anzunehmen, setzen Sie accept-router-advertisements-on. Diese Einstellung verwendet eine Schnittstellenliste und gilt standardmäßig für alle Schnittstellen.

Starten Sie CHR nach der Änderung dieser IPv6-Einstellungen neu und führen Sie dann /ipv6 address print aus. Kündigt der Anbieter ein für SLAAC geeignetes Präfix an, erscheint die gelernte Adresse am Uplink mit den Kennzeichnungen DG für dynamisch und global.

Manche Hoster vergeben IPv6 stattdessen statisch. Fügen Sie die im Panel angezeigte Adresse zu ether1 hinzu und legen Sie eine Standardroute über das dort genannte Gateway an. Setzen Sie kein Gateway wie fe80::1 voraus. Verwenden Sie die Angaben Ihres Hosters.

Fünf VPS-Hoster für CHR im Vergleich

Bei allen fünf lässt sich ein MikroTik-CHR-VPS auf dokumentiertem Weg betreiben. MikroTik dokumentiert eine Rettungssystem-Installation bei Vultr und Hetzner Cloud; MonoVM und MVPS verkaufen MikroTik-VPS mit vorinstalliertem CHR. Jede Einstiegskonfiguration erfüllt MikroTiks Empfehlung von 1.024 MiB RAM. Die Preise wurden im Oktober 2026 geprüft und gelten monatlich, vor Steuern und in der jeweiligen Anbieterwährung.

Vultr

MikroTik dokumentiert die Vultr-Installation selbst. Die Vultr-Anleitung stellt den Server mit SystemRescue aus Vultrs ISO-Bibliothek bereit. Anschließend wird das Raw-CHR-Image heruntergeladen, mit dd auf /dev/vda geschrieben und das ISO entfernt. Dieselbe Anleitung nennt RouterOS 7.2.3 Stable oder neuer als Voraussetzung bei Vultr. Vultr startet auch Ihr eigenes .iso über eine öffentliche URL.

Die 5,00-$-Konfiguration gehört zu Vultrs vorheriger Generation: ältere Intel-CPUs und normale SSD statt NVMe. Ein Tunnel-Hub liest wenig vom Datenträger, daher würde ich nicht mehr bezahlen, um diese Konfiguration zu vermeiden. Durch die stündliche Abrechnung zu 0,007 $ ist ein kurzlebiger Starttest günstig.

Vultr ist hier der Hoster mit BGP-Sitzungen für Kunden, bei denen Vultrs eigene Router mit Ihren Routern peeren. Sie beantragen diese in der Konsole mit eigener ASN und eigenem IP-Adressraum oder mit einer privaten Vultr-ASN und benötigen mindestens eine aktive Instanz. Vultr dokumentiert VPN-Verbindungen zwischen seiner Cloud und lokal betriebenen Netzen (On-Premises). Prüfen Sie vor der Bestellung die aktuelle Richtlinie zur zulässigen Nutzung für Ihr Tunnelprotokoll.

Hetzner Cloud

Bei Hetzner Cloud schreiben Sie das CHR-Image selbst aus dem Rettungssystem. Ein vorinstalliertes CHR gibt es nicht; ein eigenes ISO erfordert eine Support-Anfrage mit direktem Downloadlink. MikroTiks Hetzner-Anleitung beschreibt den Ablauf: Rettungssystem mit linux64 aktivieren, per SSH mit den in der Konsole angezeigten Zugangsdaten anmelden und das Image in einem Durchgang schreiben:

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

RouterOS 7.25 ist mit Stand vom 29. Oktober 2026 die neueste stabile Version. Prüfen Sie vor der Installation auf MikroTiks Downloadseite, ob es eine neuere stabile Version gibt, und starten Sie nach Abschluss des Schreibvorgangs neu.

Der angegebene CX23-Preis von 5,49 € gilt in Deutschland und Finnland, zuzüglich 0,50 € für IPv4 und Mehrwertsteuer. Prüfen Sie vor der Bestellung die aktuelle CX23-Verfügbarkeit in der Hetzner-Konsole. In den USA bietet der günstigste vergleichbare Server 2 AMD-vCPU, 2 GB, 40 GB NVMe und 1 TB für 17,49 €, ebenfalls ohne IPv4. Damit ist Hetzner hier für einen US-Standort die teuerste Option.

Die Abrechnung erfolgt stündlich zum niedrigeren Betrag aus Stunden- oder Monatssumme. Die Preise änderten sich am 15. Juni 2026; ältere Preisangaben aus Foren sind daher veraltet.

Laut MikroTiks Anleitung funktioniert jede Serveroption. Ein r/hetzner-Beitrag von 2026 widerspricht dem. Der Verfasser berichtet, dass neue CHR-Installationen auf Hetzners AMD-basierten Familien mit geteilten und dedizierten vCPU nicht starten, während die geteilte Intel/AMD-Reihe aus der Tabelle startet. Außerdem berichtet er, dass eine funktionierende Installation nach einem Wechsel auf die AMD-Familie normal startet. Es ist der Bericht eines Nutzers, kein bestätigter Fehler, aber der oben genannte US-Server gehört zu dieser AMD-Familie.

Hetzners Cloud-Bedingungen verbieten Kryptomining, das Scannen fremder Netze und gefälschte Quell-IP-Adressen. VPN- oder Tunnelverkehr wird nicht untersagt.

MonoVM

MonoVM installiert CHR für Sie. Laut Produktseite stehen „die offiziellen RouterOS-Versionen bereit, die Sie bei der Einrichtung auswählen können“; eigene ISO-Uploads werden nicht unterstützt. Sie beginnen mit einer von MonoVM angebotenen Version und können keinen eigenen Build starten.

Die Tabelle verwendet die 1-GB-Konfiguration, weil MonoVMs 512-MB-Tarif für 8,99 $ unter MikroTiks Empfehlung liegt. Die Seite nennt einen Port mit bis zu 10 Gbit/s. Mit einer P1-Lizenz begrenzt CHR den Upload weiterhin auf 1 Gbit/s pro Schnittstelle; für diese Reserve ist also P10 oder höher nötig.

Die Bedingungen verbieten Portscans, DDoS-Angriffe, Spam und Urheberrechtsverletzungen über BitTorrent sowie die Nutzung von IRC. VPNs oder Tunnel werden nicht untersagt.

MVPS

MVPS stellt in etwa zwei Minuten „das unveränderte Mikrotik-CHR-Image ohne Konfiguration und ohne Lizenz“ bereit. Die Lizenz kaufen Sie bei MikroTik oder einem Vertriebspartner. Das ISO-Produkt startet nur aus MVPS' eigener Bibliothek: „Eigene ISO-Images werden nicht unterstützt.“ Die Standorte liegen ausschließlich in Europa; IPv6 wird als /124-Block mit 16 Adressen bereitgestellt.

Hier entscheiden die Bedingungen. MVPS führt „GRE-Tunnel“ unter den verbotenen Aktivitäten auf, neben offenen Proxys, Tor-Exit-Nodes, offenen DNS-Resolvern, UDP-Fragmentierung und IP-Spoofing. EoIP scheidet ebenfalls aus, weil MikroTik es auf GRE aufbaut.

WireGuard oder IPsec umgehen die GRE-Einschränkung, doch der Hub muss weiterhin MVPS' andere Bedingungen einhalten, darunter das Verbot von UDP-Fragmentierung. Wenn Sie beim DNS von CHR allow-remote-requests aktivieren, schützen Sie Port 53 an der öffentlichen Schnittstelle per Firewall. Andernfalls gilt der Router nach diesen Bedingungen als offener Resolver.

Cloudzy

Wir sind der einzige dieser fünf Hoster, bei dem derselbe Tarif sowohl vorinstalliertes CHR als auch den Upload eines eigenen ISO bietet. One-Click bringt ein funktionsfähiges CHR ohne Rettungssitzung auf den Datenträger. Über den ISO-Slot können Sie SystemRescue starten, um einen bestimmten CHR-Build zu schreiben, oder MikroTiks x86-Installer für normales RouterOS, ohne den Server zu wechseln.

Unser One-Click-CHR wird mit eingeschränktem Zugriff ausgeliefert. Verwaltung ist nur über Winbox auf TCP 8291 und die VNC-Konsole im Panel möglich; SSH, Telnet, API, WWW und FTP sind zunächst deaktiviert. Sie melden sich als admin (oder root) mit dem anfänglichen Serverpasswort an. Das Zurücksetzen des Passworts im Panel ändert diese Anmeldung nicht.

One-Click benötigt mindestens 1 GB RAM. Prüfen Sie nach der Bereitstellung die RouterOS-Version, bevor Sie eine Testlizenz beantragen.

Der zweite Weg führt über unseren Upload eigener ISO-Dateien. Er akzeptiert bootfähige x86_64-.iso-Dateien von einer URL oder einer lokalen Datei mit BIOS- und UEFI-Start.

Unser Netzwerk bietet einen geteilten 40-Gbit/s-Uplink mit dedizierter Kapazität je VPS über Hypervisor-QoS. Für einen P10-Hub, der diese nutzt, empfehlen wir als Einstieg 2 vCPU, 4 GB, 120 GB NVMe und 5 TB zum Listenpreis von 14,48 $ monatlich.

Welcher Hoster passt zu welcher CHR-Aufgabe?

Die fünf Hoster unterscheiden sich in zwei Punkten. Erstens: Wer schreibt das CHR-Image auf den Datenträger, Sie aus einem Rettungssystem oder der Hoster bei der Bestellung? Zweitens: Wie hoch ist die Monatsrechnung in der benötigten Region? Das Tunnelprotokoll kann beide Kriterien überstimmen, weil ein Hoster GRE vollständig verbietet.

• Am meisten RAM und Datentransfer pro Euro, wenn eine Rettungsshell Sie nicht stört: Hetzner Cloud in Deutschland oder Finnland. Das ändert sich bei einem benötigten US-Standort, wo der vergleichbare Server etwa dreimal so viel kostet, oder wenn Sie CHR möchten, ohne das Image selbst zu schreiben.
• Niedrige Kosten für eine Rettungssystem-Installation oder eine BGP-Sitzung mit dem Anbieter: Vultr. Das ändert sich, wenn Sie NVMe-Speicher oder vorinstalliertes CHR möchten.
• Niedrigster regulärer Listenpreis für vorinstalliertes CHR in Europa als WireGuard- oder IPsec-Hub: MVPS. Das ändert sich sofort, wenn der Hub GRE oder EoIP transportiert oder Sie ein eigenes ISO benötigen.
• Vorinstalliertes CHR mit einer bei der Bestellung gewählten RouterOS-Version: MonoVM. Das ändert sich, wenn Sie einen nicht angebotenen Build benötigen oder der Preis wichtiger als die Versionsauswahl ist.
• Ein heute über das Panel gestartetes CHR ohne Rettungssitzung, bei dem Sie den RouterOS-Build später auf demselben Server ändern können: Cloudzy. Das ändert sich, wenn Sie eine BGP-Sitzung mit dem Anbieter benötigen.

Bevor dieser Hub den Verkehr Ihrer Standorte übernimmt, sollten Sie prüfen, ob er startet, eine Testlizenz annimmt und die Tunnel Ihrer CGNAT-Standorte terminiert. Unser MikroTik-VPS enthält eine dedizierte IPv4- und eine IPv6-Adresse, nennt Tunnelterminierung als Einsatzzweck und wird stündlich mit 14-tägiger Geld-zurück-Garantie abgerechnet. Wählen Sie Standort und Konfiguration auf unserer MikroTik-VPS-Seite.

Häufig gestellte Fragen