Mejor VPS para MikroTik CHR: compatibilidad de imágenes, coste de licencia e IPv6 comparados

Compras un VPS barato para terminar una conexión WireGuard desde un router situado detrás de CGNAT. La página de carga del panel pide un archivo .iso. La página de descargas de CHR de MikroTik ofrece .img, .vmdk, .vhdx, .vhd, .vdi y .ova. No hay ISO.

Esa incompatibilidad es el primer filtro al elegir el mejor VPS para MikroTik CHR, antes del precio. Otras tres comprobaciones resuelven la elección: el coste de la licencia CHR, IPv6 y si las normas del proveedor permiten tus túneles.

La versión corta

• MikroTik distribuye CHR únicamente como imágenes de disco, nunca como ISO. Comprueba cómo instala el proveedor esa imagen en el disco antes de comparar precios.
• La licencia gratuita de CHR limita la subida a 1 Mbps por interfaz. Un concentrador de túneles que reenvía tráfico necesita al menos una licencia P1, con un pago único de 45 USD a MikroTik.
• Para una instalación documentada mediante un sistema de rescate y una factura baja, elige Vultr. El CX23 de Hetzner Cloud ofrece más RAM y transferencia por euro en Alemania y Finlandia, pero está sujeto a disponibilidad: comprueba las existencias antes de elegirlo.
• Para tener CHR preinstalado sin escribir tú la imagen, elige MonoVM, MVPS (solo Europa y con una prohibición de túneles GRE en sus condiciones) o Cloudzy.

Cómo llega CHR al disco de un VPS

La documentación de CHR de MikroTik es clara sobre las descargas: «son únicamente imágenes de disco». La imagen CHR no se puede cargar como ISO, lo que deja cuatro casos. El proveedor preinstala CHR o tú escribes la imagen desde un sistema de rescate con dd. El ISO de MikroTik instala RouterOS estándar, no CHR. Un VPS basado en contenedores no puede arrancar CHR.

La opción más rápida es un CHR preinstalado, configurado por el proveedor al hacer el pedido o como aplicación de un clic. El proveedor elige la versión de RouterOS. Salvo que indique lo contrario, la licencia la sigues comprando tú.

La opción más flexible combina un sistema de rescate y dd, y te permite elegir la versión de CHR. Arrancas un Linux de rescate, ya sea el modo de rescate del proveedor o un ISO de rescate como SystemRescue.

Anota primero la dirección IPv4, la máscara de red y la puerta de enlace del servidor. Cuando esté disponible, restringe el acceso público de administración con el cortafuegos del proveedor antes de arrancar la imagen sin procesar. Después descarga la imagen, escríbela sobre el disco virtual y reinicia. Usa la consola para el primer inicio de sesión: la imagen CHR sin procesar de MikroTik arranca con la cuenta admin y sin contraseña. Establece una contraseña segura y configura las reglas de cortafuegos IPv4 e IPv6 antes de abrir la administración remota. Si el proveedor no asigna direcciones por DHCP, configúralas manualmente desde la consola.

El tercer caso es el ISO de MikroTik. Es el instalador de RouterOS x86, por lo que al cargarlo obtienes RouterOS estándar con licencias x86, un producto diferente de CHR que se explica en la sección de licencias siguiente.

El cuarto caso termina la búsqueda pronto: si el plan se basa en contenedores, busca otro. El requisito de virtualización se explica en las preguntas frecuentes.

Niveles de licencia CHR y cuánto añaden a la factura

La licencia CHR procede de MikroTik, no del proveedor de alojamiento. En un VPS supone un coste aparte, de entre 0 y 250 USD en un único pago. La sección de licencias de MikroTik establece cuatro niveles según el límite de subida por interfaz:

Los niveles de pago son perpetuos. MikroTik lo expresa como «compra una vez, úsalo para siempre». Una licencia perpetua se puede trasladar a otra instancia CHR, de modo que cambiar de proveedor más adelante no requiere otra licencia. Se puede pasar de P1 a P10 o P-Unlimited y de P10 a P-Unlimited.

Mi opinión: la licencia gratuita sirve para pruebas y administración. Con ese límite, un concentrador que reenvía una copia de seguridad de NAS o una sesión de escritorio remoto es demasiado lento para resultar práctico.

Usa P1 para cualquier concentrador que transporte tráfico. Elige P10 solo cuando una interfaz deba superar 1 Gbps. MikroTik cobra el precio completo del nivel al actualizar, no un pago de 50 USD por la diferencia.

Cada nivel de pago incluye una prueba de 60 días y necesitas una cuenta MikroTik.com para solicitarla.

Nota: En algunas nubes, una instancia clonada puede arrancar con el mismo SystemID que la original. La página de claves de licencia de MikroTik indica que ejecutes /system license generate-new-id tras el primer arranque, mientras CHR aún usa la licencia gratuita y antes de solicitar una prueba.

Después solicita la prueba desde el propio CHR con /system license renew.

Una prueba caducada sigue funcionando. Según MikroTik, el router «sigue funcionando en el mismo nivel, pero las actualizaciones de software y los cambios de paquetes quedan desactivados». Una instancia que no puede contactar con el servidor de cuentas de MikroTik para renovar se comporta igual.

Un router expuesto a Internet que no puede recibir actualizaciones no debería permanecer así. Compra y activa la licencia antes del momento deadline-at de la prueba. Tras comprarla, ejecuta de nuevo /system license renew para activarla. Si ya ha vencido el plazo, MikroTik documenta cómo licenciar la instancia caducada con una clave Prepaid. No se puede transferir una licencia perpetua existente a una instancia caducada; para esa vía, despliega un CHR nuevo, regístralo en la misma cuenta y transfiere la licencia antes de que caduque su prueba.

Un VPS de 5,00 USD al mes cuesta 60 USD en doce meses. Añade P1 por 45 USD y el primer año suma 105 USD. A partir del segundo año solo continúa la factura del VPS. En un servidor de la UE de 5,99 € al mes, el año cuesta 71,88 € más los mismos 45 USD pagados a MikroTik.

Una instalación ISO tiene otro modelo. Un VPS RouterOS creado con el instalador x86 de MikroTik dispone de una prueba de 24 horas y después necesita una clave de nivel, cuya licencia queda vinculada a esa instalación x86. El nivel 1 es una demostración gratuita con un túnel de cada tipo y un usuario HotSpot. El nivel 4 cuesta 45 USD, el nivel 5 95 USD y el nivel 6 250 USD. La página de claves de licencia de MikroTik marca la diferencia:

«Los niveles de licencia descritos hasta ahora no se aplican a los Cloud Hosted Routers (CHR)». MikroTik, claves de licencia RouterOS

IPv6 en un VPS CHR

Un CHR nuevo tiene forward=yes en /ipv6 settings, y accept-router-advertisements toma por defecto el valor yes-if-forwarding-disabled. Un concentrador reenvía tráfico. Por eso ignora los anuncios de router del proveedor, los mensajes que SLAAC usa para configurar una dirección, y el enlace ascendente no obtiene una dirección global de ellos.

La referencia de ajustes IP de MikroTik enumera ambos valores predeterminados. En un proveedor que anuncia IPv6 mediante anuncios de router, activa su aceptación solo en el enlace ascendente hacia el proveedor. Para un CHR nuevo cuyo enlace ascendente es ether1, crea una lista de interfaces dedicada:

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

Esto es seguro en el enlace ascendente porque CHR es cliente del router del proveedor en ese enlace. Para aceptar anuncios solo allí, configura accept-router-advertisements-on, que recibe una lista de interfaces y por defecto abarca todas las interfaces.

Reinicia CHR después de cambiar estos ajustes IPv6 y ejecuta /ipv6 address print. Si el proveedor anuncia un prefijo adecuado para SLAAC, la dirección aprendida aparece en el enlace ascendente con las marcas DG, que significan dinámica y global.

Algunos proveedores asignan IPv6 de forma estática. Añade a ether1 la dirección que muestra el panel y luego una ruta predeterminada por la puerta de enlace indicada. No des por sentada una puerta de enlace como fe80::1. Usa lo que documente tu proveedor.

Cinco proveedores VPS comparados para CHR

Puedes ejecutar un VPS MikroTik CHR en los cinco mediante una vía documentada. MikroTik documenta la instalación con sistema de rescate en Vultr y Hetzner Cloud, mientras MonoVM y MVPS venden alojamiento VPS MikroTik con CHR preinstalado. Cada configuración inicial cumple la recomendación de 1024 MiB de RAM de MikroTik. Los precios se comprobaron en octubre de 2026, son mensuales, antes de impuestos y en la moneda de cada proveedor.

Vultr

MikroTik documenta por sí mismo la instalación en Vultr. Su guía de Vultr despliega el servidor con SystemRescue desde la biblioteca ISO de Vultr. Después descarga la imagen CHR sin procesar, la escribe en /dev/vda con dd y retira el ISO. La misma guía indica que Vultr requiere RouterOS 7.2.3 Stable o posterior. Vultr también permite arrancar tu propio .iso desde una URL pública.

La configuración de 5,00 USD pertenece a la generación anterior de Vultr: procesadores Intel más antiguos y SSD normal en lugar de NVMe. Un concentrador de túneles lee poco del disco, así que no pagaría más por evitarlo. La facturación de 0,007 USD por hora permite hacer una prueba de arranque temporal por poco dinero.

Vultr es el proveedor de esta selección que ofrece sesiones BGP a clientes: sus propios routers establecen peering con los tuyos. Se solicitan en la consola con tu ASN y espacio IP, o con un ASN privado de Vultr, y necesitas al menos una instancia activa. Vultr documenta conexiones VPN entre su nube y redes locales (on-premises). Antes de pedirlo, confirma la política de uso aceptable vigente para tu protocolo de túnel.

Hetzner Cloud

En Hetzner Cloud escribes tú la imagen CHR desde el sistema de rescate. No hay CHR preinstalado y un ISO personalizado requiere una solicitud al soporte con un enlace de descarga directa. La guía de Hetzner de MikroTik documenta el proceso: activa el rescate con linux64, entra por SSH con las credenciales que muestra la consola y escribe la imagen de una pasada:

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

RouterOS 7.25 es la última versión estable a fecha de 29 de octubre de 2026; consulta la página de descargas de MikroTik por si hay una versión estable más reciente antes de instalar y reinicia cuando termine la escritura de la imagen.

El precio anunciado de 5,49 € para CX23 se aplica en Alemania y Finlandia y excluye los 0,50 € de IPv4 y el IVA. Comprueba la disponibilidad actual de CX23 en la consola de Hetzner antes de pedirlo. En Estados Unidos, el servidor comparable más barato ofrece 2 vCPU AMD, 2 GB, 40 GB NVMe y 1 TB por 17,49 €, también sin IPv4. Eso convierte a Hetzner en la opción más cara de esta selección para una ubicación estadounidense.

La facturación es por horas y se cobra el menor importe entre el total horario y el mensual. Los precios cambiaron el 15 de junio de 2026, así que las cifras antiguas de los foros están desactualizadas.

La guía de MikroTik afirma que cualquier opción de servidor funciona. Una publicación de 2026 en r/hetzner lo contradice. Su autor informa de que las instalaciones nuevas de CHR no arrancan en las familias AMD de Hetzner con vCPU compartidas y dedicadas, mientras la línea compartida Intel/AMD de la tabla sí arranca. También indica que redimensionar una instalación funcional hacia la familia AMD permite arrancar normalmente. Es el testimonio de un usuario, no un fallo confirmado, pero el servidor estadounidense anterior pertenece a esa familia AMD.

Las condiciones cloud de Hetzner prohíben la minería de criptomonedas, el escaneo de redes ajenas y las IP de origen falsas. No prohíben el tráfico VPN ni de túneles.

MonoVM

MonoVM instala CHR por ti. Su página dice que ofrece «las versiones oficiales de RouterOS, listas para elegir durante la configuración» y que no admite cargas de ISO personalizados. Empiezas con una versión que ofrece MonoVM y no puedes arrancar tu propia compilación.

La tabla usa la configuración de 1 GB porque el nivel de 512 MB de MonoVM, a 8,99 USD, queda por debajo de la recomendación de MikroTik. La página anuncia un puerto de hasta 10 Gbps. Con una licencia P1, CHR sigue limitando la subida a 1 Gbps por interfaz, así que aprovechar ese margen requiere P10 o superior.

Sus condiciones prohíben los escaneos de puertos, los ataques DDoS, el spam, las infracciones de derechos de autor mediante BitTorrent, así como el uso de IRC. No prohíben las VPN ni los túneles.

MVPS

MVPS despliega «la imagen Mikrotik CHR predeterminada, sin configuración y sin licencia» en unos dos minutos. Compras la licencia a MikroTik o a un distribuidor. Su producto ISO solo arranca imágenes de la biblioteca de MVPS: «No se admiten imágenes ISO personalizadas». Las ubicaciones son solo europeas e IPv6 se entrega como un bloque /124 de 16 direcciones.

Aquí deciden las condiciones. La lista de actividades prohibidas de MVPS incluye «túneles GRE», además de proxies abiertos, nodos de salida Tor, resolutores DNS abiertos, fragmentación UDP y suplantación de IP. EoIP también queda descartado, ya que MikroTik lo basa en GRE.

WireGuard o IPsec evitan la restricción de GRE, pero el concentrador debe cumplir las demás condiciones de MVPS, incluida su prohibición de fragmentación UDP. Si activas allow-remote-requests en el DNS de CHR, filtra el puerto 53 en la interfaz pública con el cortafuegos; de lo contrario, el router cuenta como resolutor abierto según esas condiciones.

Cloudzy

Somos el único de los cinco proveedores cuyo mismo plan ofrece CHR preinstalado y permite cargar tu propio ISO. La instalación de un clic coloca un CHR operativo en el disco sin una sesión de rescate. La opción ISO permite arrancar SystemRescue para escribir una compilación concreta de CHR, o el instalador x86 de MikroTik para RouterOS estándar, sin cambiar de servidor.

Nuestro CHR de un clic se entrega con acceso restringido. La administración se limita a Winbox por TCP 8291 y a la consola VNC del panel; SSH, Telnet, API, WWW y FTP empiezan desactivados. Inicias sesión como admin (o root) con la contraseña inicial del servidor y el restablecimiento de contraseña del panel no cambia ese acceso.

La instalación de un clic necesita al menos 1 GB de RAM. Comprueba la versión de RouterOS después del despliegue, antes de solicitar una prueba.

La segunda vía pasa por nuestra carga de ISO personalizados. Acepta archivos .iso x86_64 arrancables desde una URL o un archivo local, con arranque BIOS y UEFI.

Nuestra red ofrece un enlace ascendente compartido de 40 Gbps con capacidad dedicada por VPS mediante QoS del hipervisor. Para un concentrador P10 que lo aproveche, sugerimos empezar con 2 vCPU, 4 GB, 120 GB NVMe y 5 TB, anunciados a 14,48 USD al mes.

Qué proveedor encaja con cada uso de CHR

Los cinco proveedores se diferencian en dos aspectos. El primero es quién escribe la imagen CHR en el disco: tú, desde un sistema de rescate, o el proveedor, al hacer el pedido. El segundo es la factura mensual en la región que necesitas. El protocolo de túnel puede imponerse a ambos porque un proveedor prohíbe GRE por completo.

• Más RAM y transferencia por euro, si una consola de rescate no te supone un problema: Hetzner Cloud en Alemania o Finlandia. La elección cambia si necesitas una ubicación en Estados Unidos, donde el servidor comparable cuesta unas tres veces más, o si quieres CHR sin escribir tú la imagen.
• Una factura baja para instalar mediante un sistema de rescate o una sesión BGP con el proveedor: Vultr. La elección cambia si quieres almacenamiento NVMe o CHR preinstalado.
• El precio de lista habitual más bajo para CHR preinstalado en Europa como concentrador WireGuard o IPsec: MVPS. La elección cambia en cuanto el concentrador transporta GRE o EoIP, o necesitas tu propio ISO.
• CHR preinstalado con una versión de RouterOS que eliges al hacer el pedido: MonoVM. La elección cambia si necesitas una compilación que MonoVM no ofrece o si el precio importa más que elegir la versión.
• Un CHR que funciona hoy desde el panel, sin sesión de rescate y con margen para cambiar después la compilación de RouterOS en el mismo servidor: Cloudzy. La elección cambia si necesitas una sesión BGP con el proveedor.

Antes de que ese concentrador transporte el tráfico de tus sedes, conviene comprobar que arranca, acepta una licencia de prueba y termina los túneles de tus sedes detrás de CGNAT. Nuestro VPS MikroTik incluye una dirección IPv4 dedicada y una IPv6, menciona la terminación de túneles entre sus usos y factura por horas con una garantía de devolución de 14 días. Elige ubicación y configuración en nuestra página de VPS MikroTik.

Preguntas frecuentes