Beste VPS voor MikroTik CHR: image-ondersteuning, licentiekosten en IPv6 vergeleken

Je koopt een goedkope VPS om WireGuard vanaf een router achter CGNAT te termineren. De uploadpagina in het paneel vraagt om een .iso-bestand. De CHR-downloadpagina van MikroTik biedt .img, .vmdk, .vhdx, .vhd, .vdi en .ova. Er is geen ISO.

Dat verschil is het eerste selectiecriterium bij de keuze van de beste VPS voor MikroTik CHR, nog vóór de prijs. Drie controles bepalen de rest: de CHR-licentiekosten, IPv6 en of de regels van de aanbieder je tunnels toestaan.

De korte versie

• MikroTik levert CHR alleen als schijfimages, nooit als ISO. Controleer daarom eerst hoe een aanbieder dat image op de schijf zet voordat je prijzen vergelijkt.
• De gratis CHR-licentie beperkt de upload tot 1 Mbps per interface. Een tunnelhub die verkeer doorstuurt, heeft minimaal een P1-licentie nodig: een eenmalige betaling van $ 45 aan MikroTik.
• Kies Vultr voor een gedocumenteerde installatie via een reddingssysteem met lage kosten. De CX23 van Hetzner Cloud biedt in Duitsland en Finland meer RAM en dataverkeer per euro, maar is afhankelijk van beschikbaarheid. Controleer de voorraad voordat je kiest.
• Kies MonoVM, MVPS (alleen Europa, en de voorwaarden verbieden GRE-tunnels) of Cloudzy voor vooraf geïnstalleerde CHR zonder zelf het image te schrijven.

Hoe CHR op de schijf van een VPS komt

De CHR-documentatie van MikroTik is duidelijk over de downloads: ‘het zijn alleen schijfimages’. Het CHR-image zelf kan niet als ISO worden geüpload. Dat laat vier gevallen over. De aanbieder installeert CHR vooraf, of je schrijft het image vanuit een reddingssysteem met dd. De eigen ISO van MikroTik installeert standaard RouterOS, geen CHR. Een container-VPS kan CHR helemaal niet opstarten.

De snelste optie is vooraf geïnstalleerde CHR, ingesteld door de aanbieder bij de bestelling of als eenklik-app. De aanbieder kiest de RouterOS-versie. Tenzij de aanbieder anders vermeldt, moet je de licentie nog steeds zelf kopen.

Het flexibelst is een reddingssysteem met dd, waarbij je zelf de CHR-versie kiest. Je start een reddings-Linux op, via de reddingsmodus van de aanbieder of via een reddings-ISO zoals SystemRescue.

Noteer eerst het IPv4-adres, netmasker en de gateway van de server. Beperk waar mogelijk de openbare beheertoegang met de firewall van de aanbieder voordat je het raw-image opstart. Download vervolgens het image, schrijf het over de virtuele schijf en start opnieuw op. Gebruik de console voor de eerste aanmelding: het raw-CHR-image van MikroTik start met het admin-account zonder wachtwoord. Stel een sterk wachtwoord in en configureer IPv4- en IPv6-firewallregels voordat je beheer op afstand openzet. Als de aanbieder geen adressen via DHCP uitdeelt, stel je ze handmatig in via de console.

Het derde geval is de eigen ISO van MikroTik. Dat is het RouterOS x86-installatieprogramma, dus uploaden daarvan geeft je standaard RouterOS met x86-licenties, een ander product dan CHR. Dit wordt hieronder in de licentiesectie behandeld.

Het vierde geval beëindigt de zoektocht vroeg: is het abonnement op containers gebaseerd, zoek dan verder. De virtualisatievereiste staat in de veelgestelde vragen.

CHR-licentieniveaus en hun extra kosten

Een CHR-licentie komt van MikroTik, niet van de aanbieder. Op een VPS is dit een aparte kostenpost van eenmalig $ 0 tot $ 250. De licentiesectie van MikroTik bepaalt vier niveaus op basis van de uploadlimiet per interface:

De betaalde niveaus zijn permanente licenties. MikroTik omschrijft dit als ‘één keer kopen, voor altijd gebruiken’. Een permanente licentie kan naar een andere CHR-instantie worden overgedragen, dus een latere overstap naar een andere aanbieder vereist geen tweede licentie. Upgrades zijn mogelijk van P1 naar P10 of P-Unlimited en van P10 naar P-Unlimited.

Mijn mening: de gratis licentie is bedoeld voor tests en beheer. Bij die limiet is een hub die een NAS-back-up of een extern-bureaubladsessie doorstuurt te traag voor praktisch gebruik.

Gebruik P1 voor elke hub die verkeer verwerkt. Kies P10 alleen als één interface meer dan 1 Gbps moet verzenden. MikroTik rekent bij een upgrade de volledige prijs van het niveau, niet alleen een verschilbetaling van $ 50.

Elk betaald niveau heeft een proefperiode van 60 dagen. Je hebt een MikroTik.com-account nodig om die aan te vragen.

Opmerking: In sommige clouds kan een gekloonde instantie opstarten met dezelfde SystemID als het origineel. Op de licentiesleutelpagina van MikroTik staat dat je na de eerste start /system license generate-new-id moet uitvoeren, terwijl CHR nog op de gratis licentie draait en voordat je een proeflicentie aanvraagt.

Vraag de proeflicentie daarna vanuit CHR zelf aan met /system license renew.

Een verlopen proeflicentie blijft werken. Volgens MikroTik blijft de router ‘op hetzelfde niveau functioneren, maar zijn software-updates en pakketwijzigingen uitgeschakeld’. Een instantie die de accountserver van MikroTik niet kan bereiken voor verlenging, gedraagt zich hetzelfde.

Een publiek bereikbare router die geen updates kan ontvangen, moet niet in die toestand blijven. Koop en activeer de licentie vóór het deadline-at-tijdstip van de proefperiode. Voer na aankoop opnieuw /system license renew uit om de licentie te activeren. Is de deadline al verstreken, dan beschrijft MikroTik hoe je de verlopen instantie met een Prepaid-sleutel licentieert. Een bestaande permanente licentie kan niet naar een verlopen instantie worden overgedragen. Voor die route implementeer je een nieuwe CHR, registreer je die onder hetzelfde account en draag je de licentie over voordat de proefperiode verloopt.

Een VPS van $ 5,00 per maand kost over twaalf maanden $ 60. Tel daar P1 van $ 45 bij op en het eerste jaar kost $ 105. Vanaf het tweede jaar blijft alleen de VPS-rekening over. Bij een EU-server van € 5,99 per maand kost het jaar € 71,88 plus dezelfde $ 45 aan MikroTik.

Een ISO-installatie volgt een ander model. Een RouterOS-VPS die met het x86-installatieprogramma van MikroTik is gemaakt, draait een proefversie van 24 uur en heeft daarna een niveausleutel nodig met een licentie die aan die x86-installatie is gekoppeld. Level 1 is een gratis demo met één tunnel van elk type en één HotSpot-gebruiker. Level 4 kost $ 45, Level 5 $ 95 en Level 6 $ 250. De licentiesleutelpagina van MikroTik maakt het onderscheid:

‘De tot nu toe beschreven licentieniveaus gelden niet voor Cloud Hosted Routers (CHR).’ MikroTik, RouterOS-licentiesleutels

IPv6 op een CHR-VPS

Een nieuwe CHR heeft forward=yes onder /ipv6 settings, en accept-router-advertisements staat standaard op yes-if-forwarding-disabled. Een hub stuurt verkeer door. Daardoor negeert hij de routeradvertenties van de aanbieder, de berichten waarmee SLAAC een adres configureert, en krijgt de uplink daaruit geen globaal adres.

De referentie voor IP-instellingen van MikroTik vermeldt beide standaardwaarden. Schakel bij een aanbieder die IPv6 via routeradvertenties aankondigt de ontvangst alleen in op de uplink naar de aanbieder. Maak voor een nieuwe CHR met ether1 als uplink een aparte interfacelijst:

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

Dit is veilig op de uplink omdat CHR op die verbinding een client van de router van de aanbieder is. Stel accept-router-advertisements-on in om advertenties alleen daar te accepteren. Die instelling gebruikt een interfacelijst en geldt standaard voor alle interfaces.

Start CHR na wijziging van deze IPv6-instellingen opnieuw op en voer /ipv6 address print uit. Als de aanbieder een voor SLAAC geschikt prefix adverteert, verschijnt het geleerde adres op de uplink met de vlaggen DG, voor dynamisch en globaal.

Sommige aanbieders wijzen IPv6 in plaats daarvan statisch toe. Voeg het adres uit het paneel toe aan ether1 en voeg daarna een standaardroute toe via de genoemde gateway. Ga niet uit van een gateway zoals fe80::1. Gebruik wat je aanbieder documenteert.

Vijf VPS-aanbieders voor CHR vergeleken

Bij alle vijf kun je via een gedocumenteerde route een MikroTik CHR-VPS draaien. MikroTik documenteert installatie via een reddingssysteem bij Vultr en Hetzner Cloud, terwijl MonoVM en MVPS MikroTik-VPS aanbieden met vooraf geïnstalleerde CHR. Elke instapconfiguratie voldoet aan de aanbeveling van MikroTik van 1.024 MiB RAM. De prijzen zijn gecontroleerd in oktober 2026 en zijn maandelijks, vóór belasting en in de eigen valuta van elke aanbieder.

Vultr

MikroTik documenteert de Vultr-installatie zelf. De Vultr-handleiding implementeert de server met SystemRescue uit de ISO-bibliotheek van Vultr. Daarna wordt het raw-CHR-image gedownload, met dd naar /dev/vda geschreven en wordt het ISO verwijderd. Dezelfde handleiding vermeldt dat Vultr RouterOS 7.2.3 Stable of hoger vereist. Vultr start ook je eigen .iso vanaf een openbare URL.

De configuratie van $ 5,00 valt onder de vorige generatie van Vultr: oudere Intel-CPU’s en normale SSD in plaats van NVMe. Een tunnelhub leest weinig van schijf, dus ik zou niet meer betalen om die te vermijden. De uurtarieven van $ 0,007 maken een tijdelijke opstarttest goedkoop.

Vultr is de aanbieder in deze vergelijking die BGP-sessies voor klanten biedt, waarbij de eigen routers van Vultr peeren met jouw routers. Je vraagt die in de console aan met je eigen ASN en IP-adresruimte of een private ASN van Vultr, en je hebt minimaal één actieve instantie nodig. Vultr documenteert VPN-verbindingen tussen zijn cloud en netwerken op locatie (on-premises). Controleer vóór de bestelling het actuele beleid voor aanvaardbaar gebruik voor je tunnelprotocol.

Hetzner Cloud

Bij Hetzner Cloud schrijf je het CHR-image zelf vanuit het reddingssysteem. Er is geen vooraf geïnstalleerde CHR, en een eigen ISO vereist een supportverzoek met een directe downloadlink. De Hetzner-handleiding van MikroTik beschrijft de route: activeer het reddingssysteem met linux64, meld je via SSH aan met de gegevens uit de console en schrijf het image in één bewerking:

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

RouterOS 7.25 is op 29 oktober 2026 de nieuwste stabiele release. Controleer vóór de installatie op de downloadpagina van MikroTik of er een nieuwere stabiele build is en start opnieuw op nadat het schrijven van het image is voltooid.

De vermelde CX23-prijs van € 5,49 geldt in Duitsland en Finland, exclusief € 0,50 voor het IPv4-adres en btw. Controleer vóór de bestelling de actuele CX23-beschikbaarheid in de Hetzner Console. In de VS heeft de goedkoopste vergelijkbare server 2 AMD-vCPU, 2 GB, 40 GB NVMe en 1 TB voor € 17,49, ook exclusief IPv4. Daarmee is Hetzner hier de duurste optie voor een locatie in de VS.

De facturering is per uur, waarbij het laagste bedrag van het uur- of maandtotaal geldt. De prijzen veranderden op 15 juni 2026, dus oudere bedragen op forums zijn verouderd.

Volgens de handleiding van MikroTik werkt elke serveroptie. Een r/hetzner-bericht uit 2026 spreekt dat tegen. De schrijver meldt dat nieuwe CHR-installaties niet opstarten op de AMD-gebaseerde families van Hetzner met gedeelde en dedicated vCPU, terwijl de gedeelde Intel/AMD-lijn uit de tabel wel opstart. Ook meldt de schrijver dat het omzetten van een werkende installatie naar de AMD-familie normaal opstart. Het is een melding van één gebruiker, geen bevestigde fout, maar de bovenstaande server in de VS behoort tot die AMD-familie.

De cloudvoorwaarden van Hetzner verbieden cryptomining, het scannen van andermans netwerken en valse bron-IP’s. Ze verbieden geen VPN- of tunnelverkeer.

MonoVM

MonoVM installeert CHR voor je. De productpagina zegt ‘de officiële RouterOS-versies, klaar om te kiezen tijdens de installatie’ te bieden en geen uploads van eigen ISO’s te ondersteunen. Je begint met een versie die MonoVM aanbiedt en kunt geen eigen build opstarten.

De tabel gebruikt de 1-GB-configuratie omdat de 512-MB-optie van MonoVM van $ 8,99 onder de aanbeveling van MikroTik zit. De pagina vermeldt een poort tot 10 Gbps. Met een P1-licentie beperkt CHR de upload nog steeds tot 1 Gbps per interface, dus voor die extra ruimte is P10 of hoger nodig.

De voorwaarden verbieden poortscans, DDoS-aanvallen, spam en auteursrechtschendingen via BitTorrent, evenals het gebruik van IRC. Ze verbieden geen VPN’s of tunnels.

MVPS

MVPS implementeert ‘het standaard Mikrotik CHR-image, zonder configuratie en zonder licentie’ in ongeveer twee minuten. Je koopt de licentie bij MikroTik of een distributeur. Het ISO-product start alleen images uit de eigen bibliotheek van MVPS: ‘Eigen ISO-images worden niet ondersteund.’ De locaties liggen uitsluitend in Europa, en IPv6 wordt geleverd als een /124-blok met 16 adressen.

Hier geven de voorwaarden de doorslag. De lijst met verboden activiteiten van MVPS omvat ‘GRE-tunnels’, naast open proxy’s, Tor-exitnodes, open DNS-resolvers, UDP-fragmentatie en IP-spoofing. EoIP valt ook af, omdat MikroTik dit op GRE baseert.

WireGuard of IPsec ontwijkt de GRE-beperking, maar de hub moet nog steeds aan de overige voorwaarden van MVPS voldoen, waaronder het verbod op UDP-fragmentatie. Als je allow-remote-requests voor de DNS van CHR inschakelt, scherm dan poort 53 op de openbare interface af met de firewall. Anders geldt de router volgens die voorwaarden als een open resolver.

Cloudzy

Wij zijn de enige van deze vijf aanbieders bij wie hetzelfde abonnement vooraf geïnstalleerde CHR én het uploaden van een eigen ISO biedt. Met één klik komt er een werkende CHR op de schijf zonder reddingssessie. Via het ISO-slot kun je SystemRescue starten om een specifieke CHR-build te schrijven, of het x86-installatieprogramma van MikroTik voor standaard RouterOS, zonder naar een andere server te verhuizen.

Onze eenklik-CHR wordt met beperkte toegang geleverd. Beheer gaat alleen via Winbox op TCP 8291 en de VNC-console van het paneel; SSH, Telnet, API, WWW en FTP staan aanvankelijk uit. Je meldt je aan als admin (of root) met het oorspronkelijke serverwachtwoord. Het resetten van het wachtwoord in het paneel verandert die aanmelding niet.

De eenklik-installatie vereist minimaal 1 GB RAM. Controleer na de implementatie de RouterOS-versie voordat je een proeflicentie aanvraagt.

De tweede route loopt via onze upload van eigen ISO’s. Die accepteert opstartbare x86_64-.iso-bestanden vanaf een URL of lokaal bestand, met BIOS- en UEFI-opstart.

Ons netwerk biedt een gedeelde uplink van 40 Gbps met toegewezen capaciteit per VPS via hypervisor-QoS. Voor een P10-hub die hiervan gebruikmaakt, raden we aan te beginnen met 2 vCPU, 4 GB, 120 GB NVMe en 5 TB, met een vermelde prijs van $ 14,48 per maand.

Welke aanbieder past bij welke CHR-taak?

De vijf aanbieders verschillen op twee punten. Ten eerste: wie schrijft het CHR-image op de schijf, jij vanuit een reddingssysteem of de aanbieder bij de bestelling? Ten tweede: wat is de maandrekening in de regio die je nodig hebt? Het tunnelprotocol kan beide punten overrulen, omdat één aanbieder GRE volledig verbiedt.

• Het meeste RAM en dataverkeer per euro, als een reddingsshell je niet afschrikt: Hetzner Cloud in Duitsland of Finland. Dat verandert als je een locatie in de VS nodig hebt, waar de vergelijkbare server ongeveer drie keer zo duur is, of als je CHR wilt zonder zelf het image te schrijven.
• Lage kosten voor een installatie via een reddingssysteem of een BGP-sessie met de aanbieder: Vultr. Dat verandert als je NVMe-opslag of vooraf geïnstalleerde CHR wilt.
• Laagste reguliere catalogusprijs voor vooraf geïnstalleerde CHR in Europa als WireGuard- of IPsec-hub: MVPS. Dat verandert zodra de hub GRE of EoIP verwerkt of je een eigen ISO nodig hebt.
• Vooraf geïnstalleerde CHR met een RouterOS-versie die je bij de bestelling kiest: MonoVM. Dat verandert als je een build nodig hebt die MonoVM niet aanbiedt of als de prijs belangrijker is dan de versiekeuze.
• Een CHR die vandaag vanuit het paneel draait, zonder reddingssessie en met ruimte om de RouterOS-build later op dezelfde server te veranderen: Cloudzy. Dat verandert als je een BGP-sessie met de aanbieder nodig hebt.

Voordat die hub het verkeer van je locaties verwerkt, wil je zien dat hij opstart, een proeflicentie accepteert en de tunnels van je CGNAT-locaties termineert. Onze MikroTik-VPS bevat een dedicated IPv4- en een IPv6-adres, noemt tunnelterminering als toepassing en wordt per uur gefactureerd met een geld-terug-garantie van 14 dagen. Kies een locatie en configuratie op onze MikroTik-VPS-pagina.

Veelgestelde vragen

Welke CHR-licentie heb ik nodig voor een VPS?

Voor CHR op een VPS die verkeer doorstuurt, zou ik P1 kopen. De licentietabel van MikroTik stelt daarvoor 1 Gbps upload per interface vast voor eenmalig $ 45. De gratis licentie is alleen geschikt voor tests en beheer. P10 ($ 95) of P-Unlimited ($ 250) is alleen zinvol als één interface meer dan 1 Gbps nodig heeft.

Heeft MikroTik CHR KVM nodig?

CHR heeft volledige hardwarevirtualisatie nodig, zoals KVM. MikroTik test CHR op VirtualBox, VMware, QEMU, Hyper-V (alleen generatie 1) en Xen. De documentatie waarschuwt dat ‘hypervisors die paravirtualisatie bieden niet worden ondersteund’. Een OpenVZ- of LXC-container draait op de kernel van de host, niet op een eigen kernel, en kan dus geen CHR-schijf opstarten.

Kan ik het CHR-image zelf naar mijn VPS uploaden?

Niet als ISO, want MikroTik publiceert CHR alleen als schijfimages, zoals raw-.img en .vmdk. Als de aanbieder een reddingssysteem of het opstarten van een reddings-ISO zoals SystemRescue biedt, kun je het raw-image downloaden en met dd over de virtuele schijf schrijven. Gebruik anders een aanbieder die CHR vooraf installeert.

Wat is de snelheidslimiet van de gratis CHR-licentie?

MikroTik beperkt de gratis CHR-licentie tot 1 Mbps upload per interface. De limiet geldt voor verkeer dat CHR via elke interface verstuurt. Op een tunnelhub bepaalt hij dus de snelheid van al het verkeer dat de router doorstuurt. Een P1-licentie van eenmalig $ 45 verhoogt dit tot 1 Gbps.

Moet ik MikroTik CHR of een VPN-server-app gebruiken?

Als je apparaten alleen via een WireGuard-eindpunt je netwerk hoeven te bereiken, voldoet een WireGuard-server-app op elke willekeurige VPS zonder licentiekosten. CHR is zinvol als je locaties al RouterOS draaien en je dezelfde firewall, routing en scripts op de hub wilt. Dat omvat verbindingen tussen MikroTik-locaties, GRE of EoIP, routing tussen meerdere locaties en BGP over tunnels.