Meilleur VPS pour MikroTik CHR : prise en charge des images, coût des licences et IPv6 comparés

Vous achetez un VPS bon marché pour terminer une connexion WireGuard provenant d’un routeur derrière un CGNAT. La page d’importation du panneau demande un fichier .iso. La page de téléchargement de CHR de MikroTik propose des fichiers .img, .vmdk, .vhdx, .vhd, .vdi et .ova. Aucun ISO.

Cette incompatibilité est le premier critère pour choisir le meilleur VPS pour MikroTik CHR, avant même le prix. Trois vérifications complètent le choix : le coût de la licence CHR, IPv6 et l’autorisation de vos tunnels dans les conditions de l’hébergeur.

La version courte

• MikroTik fournit CHR uniquement sous forme d’images disque, jamais d’ISO. Vérifiez donc comment l’hébergeur installe cette image sur le disque avant de comparer les prix.
• La licence CHR gratuite limite le débit montant à 1 Mbit/s par interface. Un concentrateur de tunnels qui achemine du trafic nécessite au moins une licence P1, payée une seule fois 45 $ à MikroTik.
• Pour une installation documentée par système de secours à petit prix, choisissez Vultr. Le CX23 de Hetzner Cloud offre davantage de RAM et de transfert par euro en Allemagne et en Finlande, mais sa disponibilité varie : vérifiez les stocks avant de le choisir.
• Pour disposer de CHR préinstallé sans écrire vous-même l’image, choisissez MonoVM, MVPS (en Europe uniquement, avec une interdiction des tunnels GRE dans ses conditions) ou Cloudzy.

Comment installer CHR sur le disque d’un VPS

La documentation CHR de MikroTik est explicite concernant les téléchargements : « ce sont uniquement des images disque ». L’image CHR ne peut pas être importée comme un ISO, ce qui laisse quatre cas. L’hébergeur préinstalle CHR, ou vous écrivez l’image depuis un système de secours avec dd. L’ISO de MikroTik installe RouterOS standard, pas CHR. Un VPS à conteneurs ne peut pas du tout démarrer CHR.

Le plus rapide est un CHR préinstallé, configuré par l’hébergeur à la commande ou via une application en un clic. L’hébergeur choisit la version de RouterOS. Sauf indication contraire de sa part, vous devez toujours acheter la licence.

La solution la plus souple associe un système de secours et dd, et vous choisissez la version de CHR. Vous démarrez un Linux de secours, soit via le mode de secours de l’hébergeur, soit avec un ISO comme SystemRescue.

Notez d’abord l’adresse IPv4 du serveur, son masque réseau et sa passerelle. Lorsque c’est possible, limitez l’accès public à l’administration avec le pare-feu de l’hébergeur avant de démarrer l’image brute. Téléchargez ensuite l’image, écrivez-la sur le disque virtuel et redémarrez. Utilisez la console pour la première connexion : l’image CHR brute de MikroTik démarre avec le compte admin sans mot de passe. Définissez un mot de passe fort et configurez les règles de pare-feu IPv4 et IPv6 avant d’ouvrir l’administration à distance. Si l’hébergeur ne distribue pas les adresses par DHCP, configurez-les manuellement depuis la console.

Le troisième cas est l’ISO de MikroTik. Il s’agit de l’installateur RouterOS x86 : son importation vous donne RouterOS standard avec une licence x86, un produit différent de CHR, abordé ci-dessous dans la section sur les licences.

Le quatrième cas met rapidement fin à la recherche : si l’offre repose sur des conteneurs, passez votre chemin. L’exigence de virtualisation est détaillée dans la FAQ.

Niveaux de licence CHR et coût supplémentaire

La licence CHR vient de MikroTik, pas de l’hébergeur. Sur un VPS, c’est un coût distinct, compris entre 0 et 250 $ en paiement unique. La section de MikroTik sur les licences définit quatre niveaux selon la limite de débit montant par interface :

Les niveaux payants sont perpétuels. MikroTik parle d’« acheter une fois, utiliser pour toujours ». Une licence perpétuelle peut être transférée à une autre instance CHR : changer d’hébergeur plus tard ne nécessite donc pas une seconde licence. Les mises à niveau vont de P1 vers P10 ou P-Unlimited, et de P10 vers P-Unlimited.

Mon avis : la licence gratuite sert aux essais et à l’administration. Avec cette limite, un concentrateur qui transmet une sauvegarde NAS ou une session de bureau à distance est trop lent pour être réellement utilisable.

Prenez une licence P1 pour tout concentrateur qui transporte du trafic. Choisissez P10 seulement si une interface doit dépasser 1 Gbit/s. MikroTik facture le prix complet lors d’un changement de niveau, et non un supplément correspondant à la différence de 50 $.

Chaque niveau payant propose un essai de 60 jours, à demander avec un compte MikroTik.com.

Remarque : Sur certains clouds, une instance clonée peut démarrer avec le même SystemID que l’original. La page des clés de licence de MikroTik indique d’exécuter /system license generate-new-id après le premier démarrage, tant que CHR utilise encore la licence gratuite, avant de demander un essai.

Demandez ensuite l’essai depuis CHR lui-même avec /system license renew.

Un essai expiré continue de fonctionner. Selon MikroTik, le routeur « continue de fonctionner au même niveau, mais les mises à jour logicielles et les modifications de paquets sont désactivées ». Une instance qui ne peut pas joindre le serveur de comptes de MikroTik pour renouveler sa licence se comporte de la même façon.

Un routeur exposé sur Internet qui ne peut plus recevoir de mises à jour ne doit pas rester dans cet état. Achetez et activez la licence avant l’échéance deadline-at de l’essai. Après l’achat, exécutez à nouveau /system license renew pour l’activer. Si l’échéance est déjà passée, MikroTik documente l’activation de l’instance expirée avec une clé Prepaid. Une licence perpétuelle existante ne peut pas être transférée à une instance expirée ; dans ce cas, déployez un nouveau CHR, enregistrez-le sous le même compte et transférez la licence avant l’expiration de son essai.

Un VPS à 5,00 $ par mois coûte 60 $ sur douze mois. Ajoutez P1 à 45 $ : la première année revient à 105 $. À partir de la deuxième année, seule la facture du VPS reste à payer. Pour un serveur européen à 5,99 € par mois, comptez 71,88 € par an, plus les mêmes 45 $ versés à MikroTik.

Une installation ISO obéit à un autre modèle. Un VPS RouterOS créé avec l’installateur x86 de MikroTik dispose d’un essai de 24 heures, puis nécessite une clé de niveau, liée à cette installation x86. Le niveau 1 est une démonstration gratuite avec un tunnel de chaque type et un utilisateur HotSpot. Le niveau 4 coûte 45 $, le niveau 5 95 $ et le niveau 6 250 $. La page des clés de licence de MikroTik précise la distinction :

« Les niveaux de licence décrits jusqu’ici ne s’appliquent pas aux Cloud Hosted Routers (CHR). » MikroTik, clés de licence RouterOS

IPv6 sur un VPS CHR

Un nouveau CHR possède forward=yes sous /ipv6 settings, et accept-router-advertisements vaut par défaut yes-if-forwarding-disabled. Un concentrateur achemine du trafic. Il ignore donc les annonces de routeur de l’hébergeur, les messages utilisés par SLAAC pour configurer une adresse, et sa liaison montante n’obtient pas d’adresse globale grâce à ces annonces.

La référence des paramètres IP de MikroTik indique ces deux valeurs par défaut. Si l’hébergeur annonce IPv6 par annonces de routeur, activez leur réception uniquement sur la liaison montante vers le fournisseur. Pour un nouveau CHR dont cette liaison est ether1, créez une liste d’interfaces dédiée :

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

C’est sûr sur la liaison montante, car CHR est client du routeur de l’hébergeur sur ce lien. Pour recevoir les annonces uniquement à cet endroit, définissez accept-router-advertisements-on, qui accepte une liste d’interfaces et concerne par défaut toutes les interfaces.

Redémarrez CHR après avoir modifié ces paramètres IPv6, puis exécutez /ipv6 address print. Si le fournisseur annonce un préfixe utilisable par SLAAC, l’adresse apprise apparaît sur la liaison montante avec les indicateurs DG, pour dynamique et globale.

Certains hébergeurs attribuent plutôt IPv6 de manière statique. Ajoutez à ether1 l’adresse affichée dans le panneau, puis ajoutez une route par défaut via la passerelle indiquée. Ne présumez pas que la passerelle sera fe80::1, par exemple. Suivez la documentation de votre hébergeur.

Comparaison de cinq hébergeurs VPS pour CHR

Une méthode documentée permet d’exécuter un VPS MikroTik CHR chez chacun des cinq hébergeurs. MikroTik documente l’installation par système de secours chez Vultr et Hetzner Cloud, tandis que MonoVM et MVPS vendent des VPS MikroTik avec CHR préinstallé. Chaque configuration d’entrée répond à la recommandation de 1 024 Mio de RAM de MikroTik. Les tarifs ont été vérifiés en octobre 2026 ; ils sont mensuels, hors taxes et exprimés dans la devise de chaque fournisseur.

Vultr

MikroTik documente lui-même l’installation sur Vultr. Son guide Vultr déploie le serveur avec SystemRescue depuis la bibliothèque ISO de Vultr. Il télécharge ensuite l’image CHR brute, l’écrit sur /dev/vda avec dd, puis retire l’ISO. Le même guide précise que Vultr nécessite RouterOS 7.2.3 Stable ou une version ultérieure. Vultr permet aussi de démarrer votre propre fichier .iso depuis une URL publique.

La configuration à 5,00 $ appartient à la génération précédente de Vultr : d’anciens processeurs Intel et un SSD classique plutôt que du NVMe. Un concentrateur de tunnels lit peu de données sur disque ; je ne paierais donc pas davantage pour l’éviter. La facturation à 0,007 $ l’heure rend peu coûteux un test de démarrage temporaire.

Vultr est l’hébergeur de cette sélection qui propose des sessions BGP client : ses propres routeurs établissent un peering avec les vôtres. Vous en faites la demande dans la console avec votre ASN et vos adresses IP, ou un ASN privé Vultr, et devez disposer d’au moins une instance active. Vultr documente des connexions VPN entre son cloud et des réseaux sur site. Avant de commander, confirmez les règles d’utilisation acceptable en vigueur pour votre protocole de tunnel.

Hetzner Cloud

Chez Hetzner Cloud, vous écrivez vous-même l’image CHR depuis le système de secours. CHR n’est pas préinstallé, et un ISO personnalisé nécessite une demande au support avec un lien de téléchargement direct. Le guide Hetzner de MikroTik documente la méthode : activez le secours avec linux64, connectez-vous en SSH avec les identifiants affichés dans la console, puis écrivez l’image en une seule opération :

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

RouterOS 7.25 est la dernière version stable au 29 octobre 2026. Consultez la page de téléchargement de MikroTik pour rechercher une version stable plus récente avant l’installation, puis redémarrez une fois l’écriture de l’image terminée.

Le tarif CX23 affiché à 5,49 € s’applique en Allemagne et en Finlande, hors IPv4 à 0,50 € et hors TVA. Vérifiez sa disponibilité actuelle dans la console Hetzner avant de commander. Aux États-Unis, le serveur comparable le moins cher propose 2 vCPU AMD, 2 Go, 40 Go NVMe et 1 To pour 17,49 €, toujours hors IPv4. Hetzner est donc l’option la plus chère de cette sélection pour un emplacement américain.

La facturation est horaire, avec application du montant le plus bas entre le total horaire et le plafond mensuel. Les prix ont changé le 15 juin 2026 : les anciens tarifs publiés sur les forums ne sont donc plus valables.

Le guide de MikroTik indique que toutes les offres de serveur conviennent. Une publication de 2026 sur r/hetzner le contredit. Son auteur rapporte l’échec du démarrage de nouvelles installations CHR sur les gammes à vCPU partagés et dédiés basées sur AMD de Hetzner, tandis que la gamme partagée Intel/AMD du tableau démarre. Il indique aussi qu’un redimensionnement d’une installation fonctionnelle vers la gamme AMD démarre normalement. Il s’agit du témoignage d’un utilisateur, pas d’un défaut confirmé, mais le serveur américain ci-dessus appartient à cette gamme AMD.

Les conditions cloud de Hetzner interdisent le minage de cryptomonnaies, l’analyse de réseaux tiers et les fausses adresses IP source. Elles n’interdisent pas le trafic VPN ou de tunnels.

MonoVM

MonoVM installe CHR pour vous. Sa page indique proposer « les versions officielles de RouterOS, prêtes à être choisies lors de la configuration » et ne pas prendre en charge l’importation d’ISO personnalisés. Vous commencez avec une version proposée par MonoVM et ne pouvez pas démarrer votre propre version.

Le tableau retient la configuration à 1 Go, car l’offre de 512 Mo à 8,99 $ de MonoVM est inférieure à la recommandation de MikroTik. La page annonce un port allant jusqu’à 10 Gbit/s. Avec une licence P1, CHR limite toujours le débit montant à 1 Gbit/s par interface ; exploiter cette marge nécessite donc P10 ou un niveau supérieur.

Ses conditions interdisent les scans de ports, les attaques DDoS, le spam, les violations du droit d’auteur via BitTorrent, ainsi que l’utilisation d’IRC. Elles n’interdisent pas les VPN ou les tunnels.

MVPS

MVPS déploie « l’image Mikrotik CHR standard, sans configuration et sans licence » en environ deux minutes. Vous achetez la licence auprès de MikroTik ou d’un distributeur. Son offre ISO démarre uniquement les images de sa propre bibliothèque : « Les images ISO personnalisées ne sont pas prises en charge. » Les emplacements sont exclusivement européens, et IPv6 est fourni sous forme d’un bloc /124 de 16 adresses.

Ici, les conditions tranchent. La liste des activités interdites de MVPS comprend les « tunnels GRE », ainsi que les proxys ouverts, les nœuds de sortie Tor, les résolveurs DNS ouverts, la fragmentation UDP et l’usurpation d’IP. EoIP est également exclu, puisque MikroTik le fonde sur GRE.

WireGuard ou IPsec échappent à la restriction GRE, mais le concentrateur doit toujours respecter les autres conditions de MVPS, notamment l’interdiction de la fragmentation UDP. Si vous activez allow-remote-requests sur le DNS de CHR, filtrez le port 53 sur l’interface publique avec le pare-feu ; sinon, le routeur constitue un résolveur ouvert au sens de ces conditions.

Cloudzy

Nous sommes le seul des cinq hébergeurs dont la même offre propose CHR préinstallé et l’importation de votre propre ISO. L’installation en un clic place un CHR fonctionnel sur le disque sans session de secours. L’emplacement ISO permet de démarrer SystemRescue pour écrire une version précise de CHR, ou l’installateur x86 de MikroTik pour RouterOS standard, sans changer de serveur.

Notre CHR en un clic est livré avec un accès restreint. L’administration se fait uniquement par Winbox sur TCP 8291 et par la console VNC du panneau ; SSH, Telnet, API, WWW et FTP sont désactivés au départ. Vous vous connectez comme admin (ou root) avec le mot de passe initial du serveur, et la réinitialisation du mot de passe dans le panneau ne modifie pas cet accès.

L’installation en un clic nécessite au moins 1 Go de RAM. Vérifiez la version de RouterOS après le déploiement, avant de demander un essai.

La seconde méthode passe par notre importation d’ISO personnalisés. Elle accepte les fichiers .iso x86_64 amorçables, depuis une URL ou un fichier local, avec démarrage BIOS et UEFI.

Notre réseau dispose d’une liaison montante partagée de 40 Gbit/s, avec une capacité dédiée par VPS via la QoS de l’hyperviseur. Pour un concentrateur P10 qui l’exploite, nous suggérons de commencer avec 2 vCPU, 4 Go, 120 Go NVMe et 5 To, affichés à 14,48 $ par mois.

Quel hébergeur pour quel usage de CHR ?

Les cinq hébergeurs se distinguent sur deux points. D’abord, qui écrit l’image CHR sur le disque : vous, depuis un système de secours, ou l’hébergeur, à la commande. Ensuite, la facture mensuelle dans la région souhaitée. Le protocole de tunnel peut primer sur ces deux critères, car un hébergeur interdit entièrement GRE.

• Davantage de RAM et de transfert par euro, si un shell de secours ne vous gêne pas : Hetzner Cloud en Allemagne ou en Finlande. Le choix change si vous avez besoin d’un emplacement aux États-Unis, où le serveur comparable coûte environ trois fois plus cher, ou si vous voulez CHR sans écrire vous-même l’image.
• Une installation par système de secours à petit prix, ou une session BGP avec le fournisseur : Vultr. Le choix change si vous voulez du stockage NVMe ou CHR préinstallé.
• Le prix catalogue normal le plus bas pour CHR préinstallé en Europe, pour un concentrateur WireGuard ou IPsec : MVPS. Le choix change dès que le concentrateur transporte GRE ou EoIP, ou si vous avez besoin de votre propre ISO.
• CHR préinstallé avec une version de RouterOS choisie à la commande : MonoVM. Le choix change si vous avez besoin d’une version absente de son catalogue, ou si le prix passe avant le choix de version.
• Un CHR lancé depuis le panneau aujourd’hui, sans session de secours, avec la possibilité de changer la version de RouterOS plus tard sur le même serveur : Cloudzy. Le choix change si vous avez besoin d’une session BGP avec le fournisseur.

Avant de confier le trafic de vos sites à ce concentrateur, vérifiez qu’il démarre, accepte un essai de licence et termine les tunnels de vos sites derrière un CGNAT. Notre VPS MikroTik inclut une adresse IPv4 dédiée et une adresse IPv6, cite la terminaison des tunnels parmi ses usages et propose une facturation horaire avec une garantie de remboursement de 14 jours. Choisissez un emplacement et une configuration sur notre page VPS MikroTik.

Foire aux questions