Najlepszy VPS dla MikroTik CHR: porównanie obsługi obrazów, kosztów licencji i IPv6

Kupujesz tani VPS jako punkt końcowy tunelu WireGuard z routera za CGNAT. Strona przesyłania plików w panelu wymaga pliku .iso. Strona pobierania MikroTik CHR oferuje .img, .vmdk, .vhdx, .vhd, .vdi i .ova. ISO nie ma.

Ta niezgodność jest pierwszym filtrem przy wyborze najlepszego VPS dla MikroTik CHR, jeszcze przed ceną. Resztę rozstrzygają trzy kwestie: koszt licencji CHR, IPv6 oraz to, czy regulamin dostawcy dopuszcza Twoje tunele.

Krótka wersja

• MikroTik udostępnia CHR wyłącznie jako obrazy dysków, nigdy jako ISO. Przed porównaniem cen sprawdź, jak dostawca zapisuje taki obraz na dysku.
• Bezpłatna licencja CHR ogranicza wysyłanie do 1 Mb/s na interfejs. Węzeł tuneli przekazujący ruch wymaga co najmniej P1: jednorazowej opłaty 45 USD dla MikroTik.
• Do udokumentowanej instalacji przez system ratunkowy przy niskich kosztach wybierz Vultr. Hetzner Cloud CX23 zapewnia więcej RAM-u i transferu za euro w Niemczech i Finlandii, ale jego dostępność się zmienia; sprawdź ją przed wyborem.
• Jeśli chcesz CHR zainstalowany fabrycznie, bez samodzielnego zapisu obrazu, wybierz MonoVM, MVPS (tylko Europa, a regulamin zabrania tuneli GRE) lub Cloudzy.

Jak CHR trafia na dysk VPS

Dokumentacja CHR firmy MikroTik mówi o plikach wprost: „to wyłącznie obrazy dysków”. Samego obrazu CHR nie można przesłać jako ISO, co pozostawia cztery przypadki. Dostawca instaluje CHR lub samodzielnie zapisujesz obraz z systemu ratunkowego za pomocą dd. ISO MikroTik instaluje standardowy RouterOS, a nie CHR. VPS oparty na kontenerach w ogóle nie może uruchomić CHR.

Najszybszy jest CHR zainstalowany przez dostawcę przy zamówieniu lub jako aplikacja jednym kliknięciem. Wersję RouterOS wybiera dostawca. Licencję nadal kupujesz sam, chyba że dostawca zaznaczy inaczej.

Największą swobodę daje system ratunkowy i dd: wersję CHR wybierasz sam. Uruchamiasz ratunkowy Linux z trybu odzyskiwania dostawcy albo z ISO, np. SystemRescue.

Najpierw zapisz adres IPv4 serwera, maskę sieci i bramę. Jeśli dostawca oferuje zaporę sieciową, ogranicz publiczny dostęp administracyjny przed uruchomieniem surowego obrazu. Następnie pobierz obraz, nadpisz nim wirtualny dysk i uruchom serwer ponownie. Pierwszy raz zaloguj się przez konsolę: surowy obraz CHR MikroTik startuje z kontem admin bez hasła. Ustaw silne hasło i reguły zapory IPv4 oraz IPv6 przed otwarciem zdalnego zarządzania. Jeśli dostawca nie przydziela adresów przez DHCP, skonfiguruj je ręcznie w konsoli.

Trzeci przypadek to własne ISO MikroTik. Jest to instalator RouterOS x86, więc jego przesłanie daje standardowy RouterOS z licencją x86, produkt inny niż CHR, opisany niżej w sekcji o licencjach.

Czwarty przypadek szybko kończy poszukiwania: jeśli oferta jest oparta na kontenerach, szukaj innej. Wymagania dotyczące wirtualizacji opisano w FAQ.

Poziomy licencji CHR i ich dodatkowy koszt

Licencję CHR kupujesz od MikroTik, nie od dostawcy. Na VPS to oddzielny koszt: od 0 do 250 USD jednorazowo. Sekcja MikroTik o licencjonowaniu określa cztery poziomy według limitu wysyłania na interfejs:

Płatne poziomy są bezterminowe. MikroTik określa to jako „kup raz, używaj zawsze”. Licencję bezterminową można przenieść na inną instancję CHR, więc późniejsza zmiana dostawcy nie wymaga drugiej licencji. Możliwe są przejścia z P1 na P10 lub P-Unlimited oraz z P10 na P-Unlimited.

Moim zdaniem darmowa licencja służy do testowania i zarządzania. Przy tym limicie węzeł przesyłający kopię zapasową NAS lub sesję pulpitu zdalnego jest zbyt wolny do praktycznej pracy.

Dla każdego węzła przenoszącego ruch kup P1. P10 wybierz tylko wtedy, gdy pojedynczy interfejs musi wysyłać ponad 1 Gb/s. MikroTik przy podnoszeniu poziomu pobiera pełną cenę nowej licencji, a nie różnicę 50 USD.

Każdy płatny poziom ma 60-dniowy okres próbny; do jego zamówienia potrzebne jest konto MikroTik.com.

Uwaga: w niektórych chmurach sklonowana instancja może uruchomić się z tym samym SystemID co oryginał. Strona kluczy licencyjnych MikroTik zaleca wykonanie /system license generate-new-id po pierwszym uruchomieniu, gdy CHR nadal działa na darmowej licencji, przed zamówieniem próby.

Następnie zamów próbę bezpośrednio w CHR poleceniem /system license renew.

Po zakończeniu próby system nadal działa. Według MikroTik router „działa dalej na tym samym poziomie, lecz aktualizacje oprogramowania i zmiany pakietów są wyłączone”. Tak samo zachowuje się instancja, która nie może połączyć się z serwerem kont MikroTik w celu odnowienia licencji.

Publicznie dostępnego routera nie należy pozostawiać bez możliwości aktualizacji. Kup i aktywuj licencję przed terminem deadline-at próby. Po zakupie ponownie wykonaj /system license renew, aby ją aktywować. Jeśli termin minął, MikroTik opisuje licencjonowanie wygasłej instancji kluczem Prepaid. Istniejącej licencji bezterminowej nie można przenieść na wygasłą instancję: utwórz nowy CHR, zarejestruj go na tym samym koncie i przenieś licencję przed zakończeniem jego próby.

VPS za 5,00 USD miesięcznie kosztuje 60 USD przez dwanaście miesięcy. Dodaj P1 za 45 USD, a pierwszy rok wyniesie 105 USD. Od drugiego roku pozostaje tylko opłata za VPS. Serwer w UE za 5,99 EUR miesięcznie kosztuje rocznie 71,88 EUR plus te same 45 USD dla MikroTik.

Instalacja z ISO działa inaczej. VPS RouterOS utworzony instalatorem MikroTik x86 ma 24-godzinną próbę, a następnie wymaga klucza poziomu związanego z tą instalacją x86. Level 1 to bezpłatne demo z jednym tunelem każdego typu i jednym użytkownikiem HotSpot. Level 4 kosztuje 45 USD, Level 5 95 USD, a Level 6 250 USD. Strona kluczy licencyjnych MikroTik wyjaśnia rozróżnienie:

„Opisane dotąd poziomy licencji nie dotyczą Cloud Hosted Router (CHR)”. MikroTik, klucze licencyjne RouterOS

IPv6 na VPS z CHR

Nowy CHR ma forward=yes w /ipv6 settings, a domyślna wartość accept-router-advertisements to yes-if-forwarding-disabled. Węzeł przekazuje ruch, więc ignoruje ogłoszenia routera dostawcy, czyli komunikaty, z których SLAAC konfiguruje adres. Interfejs do dostawcy nie otrzymuje z nich adresu globalnego.

Opis ustawień IP MikroTik podaje obie wartości domyślne. U dostawcy ogłaszającego IPv6 przez router advertisement włącz ich odbiór wyłącznie na interfejsie do dostawcy. Dla nowego CHR z takim interfejsem ether1 utwórz oddzielną listę interfejsów:

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

Na interfejsie do dostawcy jest to bezpieczne, ponieważ CHR jest tam klientem routera dostawcy. Aby przyjmować ogłoszenia tylko tam, ustaw accept-router-advertisements-on; parametr przyjmuje listę interfejsów, a domyślnie obejmuje wszystkie.

Po zmianie tych ustawień IPv6 uruchom CHR ponownie i wykonaj /ipv6 address print. Jeśli dostawca ogłasza prefiks odpowiedni dla SLAAC, uzyskany adres pojawi się na interfejsie do dostawcy z flagami DG, oznaczającymi dynamiczny i globalny.

Niektórzy dostawcy przypisują IPv6 statycznie. Dodaj adres z panelu do ether1, a następnie trasę domyślną przez wskazaną w panelu bramę. Nie zakładaj bramy takiej jak fe80::1. Użyj danych z dokumentacji dostawcy.

Porównanie pięciu dostawców VPS dla CHR

U każdego z pięciu można uruchomić VPS MikroTik CHR udokumentowaną metodą. MikroTik opisuje instalację przez system ratunkowy u Vultr i Hetzner Cloud, a MonoVM oraz MVPS sprzedają VPS MikroTik z CHR już zainstalowanym. Każda podstawowa konfiguracja spełnia zalecenie MikroTik dotyczące 1024 MiB RAM-u. Ceny sprawdzono w październiku 2026 r.; są miesięczne, bez podatku i w walucie danego dostawcy.

Vultr

MikroTik sam dokumentuje instalację w Vultr. Jego poradnik dla Vultr wdraża serwer z SystemRescue z biblioteki ISO Vultr. Następnie pobiera surowy obraz CHR, zapisuje go na /dev/vda za pomocą dd i odłącza ISO. Ten sam poradnik wymaga RouterOS 7.2.3 Stable lub nowszego. Vultr uruchamia też Twój plik .iso z publicznego URL.

Konfiguracja za 5,00 USD należy do poprzedniej generacji Vultr: starszych procesorów Intel i zwykłych SSD zamiast NVMe. Węzeł tuneli mało czyta z dysku, więc nie dopłacałbym tylko po to, by ich uniknąć. Stawka 0,007 USD za godzinę sprawia, że krótki test rozruchu jest tani.

Spośród tych dostawców Vultr oferuje klientom sesje BGP: routery Vultr ustanawiają peering z Twoimi. Zamawiasz je w konsoli z własnym ASN i przestrzenią IP lub prywatnym ASN Vultr; potrzebujesz co najmniej jednej aktywnej instancji. Vultr dokumentuje połączenia VPN między swoją chmurą a sieciami we własnej lokalnej infrastrukturze klienta. Przed zamówieniem potwierdź aktualne zasady dopuszczalnego użytkowania dla Twojego protokołu tunelowego.

Hetzner Cloud

W Hetzner Cloud sam zapisujesz obraz CHR z systemu ratunkowego. Nie ma CHR już zainstalowanego, a własne ISO wymaga zgłoszenia do wsparcia z bezpośrednim linkiem do pobrania. Poradnik MikroTik dla Hetzner opisuje procedurę: włącz odzyskiwanie linux64, zaloguj się przez SSH danymi z konsoli i zapisz obraz w jednym przebiegu:

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

Według stanu na 29 października 2026 r. najnowszą stabilną wersją jest RouterOS 7.25. Przed instalacją sprawdź stronę pobierania MikroTik pod kątem nowszego stabilnego wydania, a po zapisie obrazu uruchom serwer ponownie.

Cena katalogowa CX23 5,49 EUR dotyczy Niemiec i Finlandii, bez 0,50 EUR za IPv4 oraz VAT. Przed zamówieniem sprawdź dostępność CX23 w Hetzner Console. W USA najtańszy porównywalny serwer to 2 vCPU AMD, 2 GB, 40 GB NVMe i 1 TB za 17,49 EUR, też bez IPv4. Dlatego dla lokalizacji w USA Hetzner jest tu najdroższą opcją.

Rozliczenie jest godzinowe; fakturowana jest niższa z sumy godzinowej i miesięcznej. Ceny zmieniły się 15 czerwca 2026 r., więc starsze kwoty na forach są nieaktualne.

Poradnik MikroTik twierdzi, że zadziała każdy wariant serwera. Wpis z 2026 r. na r/hetzner temu przeczy. Autor zgłasza, że świeże instalacje CHR nie startują w rodzinach Hetzner ze współdzielonymi i dedykowanymi vCPU opartymi na AMD, podczas gdy współdzielona linia Intel/AMD z tabeli startuje. Pisze też, że działająca instalacja uruchamia się normalnie po zmianie konfiguracji na rodzinę AMD. To relacja jednego użytkownika, nie potwierdzona wada, ale opisany wyżej serwer w USA należy do tej rodziny AMD.

Warunki chmury Hetzner zabraniają kopania kryptowalut, skanowania cudzych sieci i fałszywych źródłowych adresów IP. VPN ani ruch tunelowy nie są zabronione.

MonoVM

MonoVM instaluje CHR za Ciebie. Strona mówi o „oficjalnych wersjach RouterOS, gotowych do wyboru podczas konfiguracji” i braku obsługi przesyłania własnych ISO. Zaczynasz od wersji oferowanej przez MonoVM i nie możesz uruchomić własnej kompilacji.

Tabela używa konfiguracji 1 GB, ponieważ plan MonoVM z 512 MB za 8,99 USD jest poniżej zalecenia MikroTik. Strona podaje port do 10 Gb/s. Z licencją P1 CHR nadal ogranicza wysyłanie do 1 Gb/s na interfejs, więc wykorzystanie zapasu wymaga P10 lub wyżej.

Regulamin zabrania skanowania portów, ataków DDoS, spamu, naruszeń praw autorskich przez BitTorrent, a także korzystania z IRC. Nie zabrania VPN ani tuneli.

MVPS

MVPS wdraża „domyślny obraz Mikrotik CHR bez konfiguracji i bez licencji” w około dwie minuty. Licencję kupujesz od MikroTik lub dystrybutora. Usługa ISO uruchamia tylko obrazy z biblioteki MVPS: „Własne obrazy ISO nie są obsługiwane”. Lokalizacje są wyłącznie europejskie, a IPv6 to blok /124 z 16 adresami.

Tu decyduje regulamin. Lista zakazów MVPS obejmuje „tunele GRE”, otwarte proxy, węzły wyjściowe Tor, otwarte resolwery DNS, fragmentację UDP i podszywanie się pod IP. EoIP też odpada, ponieważ MikroTik opiera go na GRE.

WireGuard lub IPsec omijają ograniczenie GRE, ale węzeł nadal musi spełniać pozostałe warunki MVPS, w tym zakaz fragmentacji UDP. Jeśli w DNS CHR włączysz allow-remote-requests, zabezpiecz port 53 zaporą na publicznym interfejsie, inaczej router jest otwartym resolverem w rozumieniu tych warunków.

Cloudzy

Jesteśmy jedynym z pięciu dostawców, u którego ta sama oferta daje CHR już zainstalowany oraz możliwość przesłania własnego ISO. Instalacja jednym kliknięciem umieszcza działający CHR na dysku bez sesji ratunkowej. Miejsce na ISO pozwala uruchomić SystemRescue do zapisania konkretnej wersji CHR lub instalator MikroTik x86 do standardowego RouterOS bez zmiany serwera.

Nasz CHR jednym kliknięciem ma ograniczony dostęp. Zarządzanie odbywa się wyłącznie przez Winbox na TCP 8291 i konsolę VNC panelu; SSH, Telnet, API, WWW i FTP są początkowo wyłączone. Logujesz się jako admin (lub root) początkowym hasłem serwera; reset hasła w panelu nie zmienia tych danych logowania.

Instalacja jednym kliknięciem wymaga co najmniej 1 GB RAM-u. Po wdrożeniu sprawdź wersję RouterOS przed zamówieniem próby.

Druga ścieżka to nasze przesyłanie własnego ISO. Przyjmuje startowe pliki x86_64 .iso z URL lub pliku lokalnego, z rozruchem BIOS i UEFI.

Nasza sieć ma współdzielone łącze 40 Gb/s z wydzieloną przepustowością na VPS przez QoS hiperwizora. Dla korzystającego z niego węzła P10 sugerujemy zacząć od 2 vCPU, 4 GB, 120 GB NVMe i 5 TB, w cenie katalogowej 14,48 USD miesięcznie.

Który dostawca do jakiej roli CHR

Pięciu dostawców różnią dwie rzeczy. Pierwsza: kto zapisuje obraz CHR na dysku, Ty z systemu ratunkowego czy dostawca przy zamówieniu. Druga: miesięczna cena w potrzebnym regionie. Protokół tunelu może przeważyć nad obiema, bo jeden dostawca całkowicie zabrania GRE.

• Najwięcej RAM-u i transferu za euro, jeśli powłoka ratunkowa nie przeszkadza: Hetzner Cloud w Niemczech lub Finlandii. Wybór zmienia się, gdy potrzebujesz USA, gdzie podobny serwer kosztuje około trzykrotnie więcej, albo CHR bez samodzielnego zapisu obrazu.
• Niska opłata za instalację przez system ratunkowy lub sesja BGP z dostawcą: Vultr. Wybór zmienia się, jeśli chcesz NVMe lub CHR już zainstalowany.
• Najniższa zwykła cena katalogowa za CHR już zainstalowany w Europie do węzła WireGuard lub IPsec: MVPS. Wybór zmienia się, gdy węzeł przenosi GRE lub EoIP albo potrzebujesz własnego ISO.
• CHR już zainstalowany z wersją RouterOS wybieraną przy zamówieniu: MonoVM. Wybór zmienia się, gdy potrzebujesz kompilacji spoza oferty MonoVM albo cena jest ważniejsza od wyboru wersji.
• CHR działający dziś z panelu, bez sesji ratunkowej, z możliwością późniejszej zmiany kompilacji RouterOS na tym samym serwerze: Cloudzy. Wybór zmienia się, jeśli potrzebujesz sesji BGP z dostawcą.

Zanim węzeł przeniesie ruch Twoich lokalizacji, sprawdź jego start, uzyskanie próbnej licencji i kończenie tuneli z lokalizacji za CGNAT. Nasz MikroTik VPS zawiera dedykowany IPv4 oraz adres IPv6, wymienia kończenie tuneli jako zastosowanie, rozlicza godziny i daje 14-dniową gwarancję zwrotu pieniędzy. Wybierz lokalizację i konfigurację na naszej stronie MikroTik VPS.

Często zadawane pytania

Jakiej licencji CHR potrzebuję na VPS?

Dla CHR na VPS przekazującego ruch wybrałbym P1: tabela MikroTik określa 1 Gb/s wysyłania na interfejs za jednorazowe 45 USD. Darmowa licencja nadaje się tylko do testowania i zarządzania. P10 (95 USD) lub P-Unlimited (250 USD) mają sens tylko wtedy, gdy pojedynczy interfejs musi przekroczyć 1 Gb/s.

Czy MikroTik CHR wymaga KVM?

CHR wymaga pełnej wirtualizacji sprzętowej, np. KVM. MikroTik testuje go na VirtualBox, VMware, QEMU, Hyper-V (tylko generacja 1) i Xen. Dokumentacja ostrzega, że „hipernadzorcy oferujący parawirtualizację nie są obsługiwani”. Kontener OpenVZ lub LXC działa na jądrze hosta, nie własnym, więc nie może uruchomić dysku CHR.

Czy mogę sam przesłać obraz CHR na VPS?

Nie jako ISO, ponieważ MikroTik publikuje CHR wyłącznie jako obrazy dysków, np. surowy .img i .vmdk. Gdy dostawca daje system ratunkowy lub możliwość startu ratunkowego ISO, np. SystemRescue, możesz pobrać surowy obraz i nadpisać wirtualny dysk poleceniem dd. W przeciwnym razie wybierz dostawcę, który instaluje CHR.

Jaki limit prędkości ma darmowa licencja CHR?

MikroTik ogranicza darmowy CHR do 1 Mb/s wysyłania na interfejs. Limit dotyczy ruchu wysyłanego przez każdy interfejs, więc na węźle tuneli obejmuje wszystko, co router przekazuje. P1 za jednorazowe 45 USD podnosi go do 1 Gb/s.

Wybrać MikroTik CHR czy aplikację serwera VPN?

Jeśli urządzenia muszą tylko docierać do Twojej sieci przez punkt WireGuard, aplikacja serwera WireGuard na dowolnym VPS zrobi to bez kosztu licencji. CHR ma sens, gdy lokalizacje już używają RouterOS i chcesz tej samej zapory, routingu oraz skryptów w centrum. Obejmuje to połączenia między lokalizacjami z MikroTik, GRE lub EoIP, routing między wieloma lokalizacjami i BGP przez tunele.