VPS tốt nhất cho MikroTik CHR: So sánh hỗ trợ ảnh đĩa, phí giấy phép và IPv6

Bạn mua một VPS giá rẻ để làm điểm kết thúc kết nối WireGuard từ bộ định tuyến nằm sau CGNAT. Trang tải lên trong bảng điều khiển yêu cầu tệp .iso. Trang tải CHR của MikroTik lại cung cấp .img, .vmdk, .vhdx, .vhd, .vdi và .ova. Không có ISO.

Sự không tương thích đó là tiêu chí sàng lọc đầu tiên khi chọn VPS tốt nhất cho MikroTik CHR, trước cả giá. Ba mục kiểm tra quyết định phần còn lại: phí giấy phép CHR, IPv6 và việc quy định của nhà cung cấp có cho phép các đường hầm của bạn hay không.

Phiên bản ngắn gọn

• MikroTik chỉ cung cấp CHR dưới dạng ảnh đĩa, không bao giờ là ISO. Vì vậy, hãy kiểm tra cách nhà cung cấp ghi ảnh đó vào đĩa trước khi so sánh giá.
• Giấy phép CHR miễn phí giới hạn tốc độ tải lên ở mức 1 Mbps cho mỗi giao diện. Một nút trung tâm đường hầm có chuyển tiếp lưu lượng cần tối thiểu giấy phép P1, thanh toán một lần 45 USD cho MikroTik.
• Nếu muốn cài qua hệ thống cứu hộ theo tài liệu hướng dẫn và có chi phí thấp, hãy chọn Vultr. CX23 của Hetzner Cloud cung cấp nhiều RAM và lưu lượng truyền hơn trên mỗi euro tại Đức và Phần Lan, nhưng còn tùy tình trạng cung ứng; hãy kiểm tra trước khi chọn.
• Nếu muốn CHR được cài sẵn mà không tự ghi ảnh đĩa, hãy chọn MonoVM, MVPS (chỉ tại châu Âu, với điều khoản cấm đường hầm GRE) hoặc Cloudzy.

Cách đưa CHR lên đĩa VPS

Tài liệu CHR của MikroTik nói rõ về các bản tải xuống: “chúng chỉ là ảnh đĩa.” Bản thân ảnh CHR không thể được tải lên như một ISO, nên có bốn trường hợp. Nhà cung cấp cài sẵn CHR, hoặc bạn ghi ảnh từ hệ thống cứu hộ bằng dd. ISO riêng của MikroTik cài RouterOS tiêu chuẩn, không phải CHR. VPS dạng container hoàn toàn không thể khởi động CHR.

Nhanh nhất là CHR được cài sẵn, do nhà cung cấp thiết lập khi đặt hàng hoặc qua ứng dụng một lần nhấp. Nhà cung cấp chọn phiên bản RouterOS. Bạn vẫn phải tự mua giấy phép trừ khi nhà cung cấp có thông báo khác.

Linh hoạt nhất là hệ thống cứu hộ kết hợp dd, cho phép bạn chọn phiên bản CHR. Bạn khởi động Linux cứu hộ bằng chế độ cứu hộ của nhà cung cấp hoặc ISO cứu hộ như SystemRescue.

Trước hết, ghi lại địa chỉ IPv4, mặt nạ mạng và cổng mặc định của máy chủ. Nếu có, dùng tường lửa của nhà cung cấp để hạn chế truy cập quản trị công khai trước khi khởi động ảnh thô. Sau đó tải ảnh về, ghi đè lên đĩa ảo rồi khởi động lại. Dùng bảng điều khiển console cho lần đăng nhập đầu tiên: ảnh CHR thô của MikroTik khởi động với tài khoản admin không có mật khẩu. Đặt mật khẩu mạnh và cấu hình quy tắc tường lửa IPv4, IPv6 trước khi mở quản trị từ xa. Nếu nhà cung cấp không cấp địa chỉ qua DHCP, hãy thiết lập thủ công từ console.

Trường hợp thứ ba là ISO riêng của MikroTik. Đây là bộ cài RouterOS x86, nên tải nó lên sẽ cho bạn RouterOS tiêu chuẩn với giấy phép x86, một sản phẩm khác CHR, được trình bày trong phần giấy phép bên dưới.

Trường hợp thứ tư kết thúc việc tìm kiếm ngay từ đầu: nếu gói dựa trên container, hãy tìm lựa chọn khác. Yêu cầu về ảo hóa nằm trong phần câu hỏi thường gặp.

Các cấp giấy phép CHR và chi phí cộng thêm

Giấy phép CHR do MikroTik cung cấp, không phải nhà cung cấp VPS. Trên VPS, đây là khoản phí riêng, từ 0 đến 250 USD trả một lần. Phần giấy phép của MikroTik quy định bốn cấp theo giới hạn tải lên trên mỗi giao diện:

Các cấp trả phí là giấy phép vĩnh viễn. Theo lời MikroTik, “mua một lần, dùng mãi mãi”, và giấy phép vĩnh viễn có thể chuyển sang máy ảo CHR khác, nên đổi nhà cung cấp sau này không cần mua giấy phép thứ hai. Có thể nâng từ P1 lên P10 hoặc P-Unlimited, và từ P10 lên P-Unlimited.

Theo tôi, giấy phép miễn phí dành cho thử nghiệm và quản trị. Với mức giới hạn đó, một nút trung tâm chuyển tiếp bản sao lưu NAS hay phiên làm việc máy tính từ xa sẽ quá chậm để dùng thực tế.

Hãy dùng giấy phép P1 cho mọi nút trung tâm có vận chuyển lưu lượng. Chỉ chọn P10 khi một giao diện cần đẩy hơn 1 Gbps. MikroTik thu toàn bộ giá của cấp mới khi nâng cấp, không phải khoản chênh lệch 50 USD.

Mọi cấp trả phí đều có thời gian dùng thử 60 ngày, và bạn cần tài khoản MikroTik.com để yêu cầu.

Lưu ý: Trên một số nền tảng đám mây, máy ảo được nhân bản có thể khởi động với SystemID giống bản gốc. Trang khóa giấy phép của MikroTik yêu cầu chạy /system license generate-new-id sau lần khởi động đầu tiên, khi CHR vẫn đang dùng giấy phép miễn phí và trước khi yêu cầu dùng thử.

Sau đó yêu cầu dùng thử ngay trên CHR bằng /system license renew.

Bản dùng thử hết hạn vẫn tiếp tục chạy. Theo MikroTik, bộ định tuyến “tiếp tục hoạt động ở cùng cấp, nhưng cập nhật phần mềm và thay đổi gói bị vô hiệu hóa.” Máy ảo không thể kết nối máy chủ tài khoản MikroTik để gia hạn cũng hoạt động như vậy.

Không nên để bộ định tuyến tiếp xúc với internet ở trạng thái không thể cập nhật. Hãy mua và kích hoạt giấy phép trước thời điểm deadline-at của bản dùng thử. Sau khi mua, chạy lại /system license renew để kích hoạt. Nếu đã quá hạn, MikroTik có tài liệu hướng dẫn cấp phép cho máy ảo CHR có giấy phép hết hạn bằng khóa Prepaid. Không thể chuyển giấy phép vĩnh viễn hiện có sang máy ảo có giấy phép đã hết hạn; nếu muốn dùng cách chuyển, hãy triển khai CHR mới, đăng ký dưới cùng tài khoản và chuyển giấy phép trước khi bản dùng thử của nó hết hạn.

VPS giá 5,00 USD/tháng tốn 60 USD trong mười hai tháng. Cộng P1 giá 45 USD thì năm đầu là 105 USD. Từ năm thứ hai, chỉ còn phí VPS. Với máy chủ tại EU giá 5,99 €/tháng, một năm là 71,88 € cộng cùng khoản 45 USD trả cho MikroTik.

Cài qua ISO dùng cơ chế khác. VPS RouterOS được tạo từ bộ cài x86 của MikroTik chạy thử 24 giờ, sau đó cần khóa cấp độ, tức giấy phép gắn với bản cài x86 đó. Level 1 là bản demo miễn phí với một đường hầm mỗi loại và một người dùng HotSpot. Level 4 giá 45 USD, Level 5 giá 95 USD và Level 6 giá 250 USD. Trang khóa giấy phép của MikroTik phân biệt rõ:

“Các cấp giấy phép được mô tả đến đây không áp dụng cho Cloud Hosted Router (CHR).” MikroTik, khóa giấy phép RouterOS

IPv6 trên VPS CHR

CHR mới có forward=yes trong /ipv6 settings, còn accept-router-advertisements mặc định là yes-if-forwarding-disabled. Nút trung tâm có chuyển tiếp lưu lượng. Vì vậy, nó bỏ qua thông báo quảng bá bộ định tuyến của nhà cung cấp, những thông điệp SLAAC dùng để cấu hình địa chỉ, nên giao diện uplink không nhận được địa chỉ toàn cục từ đó.

Tài liệu tham chiếu thiết lập IP của MikroTik liệt kê cả hai giá trị mặc định. Với nhà cung cấp thông báo IPv6 bằng quảng bá bộ định tuyến, chỉ bật tiếp nhận trên uplink hướng về nhà cung cấp. Với CHR mới có uplink là ether1, hãy tạo danh sách giao diện riêng:

/interface list add name=CHR-UPLINK
/interface list member add list=CHR-UPLINK interface=ether1
/ipv6 settings set accept-router-advertisements=yes accept-router-advertisements-on=CHR-UPLINK

Cách này an toàn trên uplink vì CHR là máy khách của bộ định tuyến nhà cung cấp trên liên kết đó. Để chỉ nhận quảng bá tại đây, đặt accept-router-advertisements-on; thiết lập này nhận danh sách giao diện và mặc định áp dụng cho mọi giao diện.

Khởi động lại CHR sau khi thay đổi các thiết lập IPv6 này, rồi chạy /ipv6 address print. Nếu nhà cung cấp quảng bá tiền tố phù hợp cho SLAAC, địa chỉ học được sẽ xuất hiện trên uplink với cờ DG, nghĩa là động và toàn cục.

Một số nhà cung cấp cấp IPv6 tĩnh. Thêm địa chỉ hiển thị trong bảng điều khiển vào ether1, rồi thêm tuyến mặc định qua cổng được bảng điều khiển chỉ định. Đừng tự cho rằng cổng sẽ là địa chỉ như fe80::1. Hãy dùng giá trị nhà cung cấp ghi trong tài liệu.

So sánh năm nhà cung cấp VPS cho CHR

Bạn có thể chạy VPS MikroTik CHR tại cả năm nhà cung cấp bằng cách có tài liệu hướng dẫn. MikroTik ghi lại cách cài qua hệ thống cứu hộ tại Vultr và Hetzner Cloud, còn MonoVM và MVPS bán VPS MikroTik có CHR cài sẵn. Mỗi cấu hình cơ bản đều đáp ứng khuyến nghị RAM 1.024 MiB của MikroTik. Giá được kiểm tra vào tháng 10 năm 2026, tính theo tháng, trước thuế, bằng tiền tệ riêng của từng nhà cung cấp.

Vultr

Chính MikroTik ghi tài liệu cách cài trên Vultr. Hướng dẫn Vultr của họ triển khai máy chủ bằng SystemRescue trong thư viện ISO của Vultr. Tiếp theo, tải ảnh CHR thô, ghi vào /dev/vda bằng dd, rồi tháo ISO. Hướng dẫn đó cũng nói Vultr cần RouterOS 7.2.3 Stable trở lên. Vultr còn cho phép khởi động tệp .iso riêng từ URL công khai.

Cấu hình 5,00 USD thuộc nhóm thế hệ trước của Vultr, dùng CPU Intel cũ và SSD thông thường thay vì NVMe. Nút trung tâm đường hầm ít đọc đĩa, nên tôi không muốn trả thêm để tránh cấu hình này. Tính phí 0,007 USD/giờ giúp phép thử khởi động tạm thời có giá rẻ.

Vultr là nhà cung cấp trong danh sách này có phiên BGP cho khách hàng, nghĩa là bộ định tuyến của chính Vultr thiết lập kết nối ngang hàng với bộ định tuyến của bạn. Bạn yêu cầu qua console bằng ASN và không gian IP riêng, hoặc ASN riêng của Vultr, và cần ít nhất một máy ảo đang hoạt động. Vultr có tài liệu về kết nối VPN giữa đám mây của họ và mạng tại chỗ. Hãy xác nhận chính sách sử dụng chấp nhận được hiện hành đối với giao thức đường hầm của bạn trước khi đặt hàng.

Hetzner Cloud

Trên Hetzner Cloud, bạn tự ghi ảnh CHR từ hệ thống cứu hộ. Không có CHR cài sẵn, và ISO tùy chỉnh cần gửi yêu cầu hỗ trợ kèm liên kết tải trực tiếp. Hướng dẫn Hetzner của MikroTik trình bày cách làm: bật cứu hộ với linux64, đăng nhập SSH bằng thông tin console hiển thị rồi ghi ảnh trong một lần:

# Run inside Hetzner's linux64 rescue system; this overwrites the server's disk
curl -L https://download.mikrotik.com/routeros/7.25/chr-7.25.img.zip | funzip | dd of=/dev/sda bs=1M

RouterOS 7.25 là bản ổn định mới nhất tính đến ngày 29 tháng 10 năm 2026; kiểm tra trang tải MikroTik xem có bản ổn định mới hơn trước khi cài, sau đó khởi động lại khi ghi ảnh hoàn tất.

Giá CX23 niêm yết 5,49 € áp dụng tại Đức và Phần Lan, chưa gồm địa chỉ IPv4 0,50 € và VAT. Kiểm tra tình trạng cung ứng CX23 hiện tại trong Hetzner Console trước khi đặt. Tại Mỹ, máy chủ tương đương rẻ nhất có 2 vCPU AMD, 2 GB, 40 GB NVMe và 1 TB với giá 17,49 €, cũng chưa gồm IPv4. Vì thế, Hetzner là lựa chọn đắt nhất trong danh sách này nếu chọn địa điểm tại Mỹ.

Tính phí theo giờ và xuất hóa đơn theo giá trị thấp hơn giữa tổng phí giờ với phí tháng. Giá thay đổi ngày 15 tháng 6 năm 2026, nên các con số cũ trên diễn đàn đã lỗi thời.

Hướng dẫn MikroTik nói mọi lựa chọn máy chủ đều dùng được. Một bài đăng r/hetzner năm 2026 đưa ra báo cáo khác. Người đăng cho biết các bản cài CHR mới không khởi động được trên các dòng vCPU dùng chung và chuyên dụng dựa trên AMD của Hetzner, trong khi dòng dùng chung Intel/AMD trong bảng khởi động được. Họ cũng cho biết chuyển cấu hình một bản cài đang chạy tốt sang dòng AMD thì vẫn khởi động bình thường. Đây là báo cáo của một người dùng, không phải lỗi đã xác nhận, nhưng máy chủ tại Mỹ bên trên thuộc dòng AMD đó.

Điều khoản đám mây của Hetzner cấm đào tiền mã hóa, quét mạng của bên khác và IP nguồn giả. Họ không cấm lưu lượng VPN hoặc đường hầm.

MonoVM

MonoVM cài CHR giúp bạn. Trang của họ nói cung cấp “các phiên bản RouterOS chính thức, sẵn sàng để bạn chọn khi thiết lập”, và không hỗ trợ tải lên ISO tùy chỉnh. Bạn bắt đầu bằng phiên bản MonoVM cung cấp và không thể khởi động bản dựng riêng.

Bảng dùng cấu hình 1 GB vì gói 512 MB giá 8,99 USD của MonoVM thấp hơn khuyến nghị MikroTik. Trang đó ghi cổng có tốc độ tới 10 Gbps. Với giấy phép P1, CHR vẫn giới hạn tải lên ở 1 Gbps cho mỗi giao diện, nên cần P10 trở lên để dùng phần băng thông bổ sung đó.

Điều khoản của họ cấm quét cổng, tấn công DDoS, thư rác, vi phạm bản quyền qua BitTorrent và IRC. Họ không cấm VPN hay đường hầm.

MVPS

MVPS triển khai “ảnh Mikrotik CHR mặc định, không cấu hình và không giấy phép” trong khoảng hai phút. Bạn mua giấy phép từ MikroTik hoặc nhà phân phối. Sản phẩm ISO của họ chỉ khởi động từ thư viện riêng của MVPS: “Không hỗ trợ ảnh ISO tùy chỉnh.” Địa điểm chỉ ở châu Âu, và IPv6 được cấp dưới dạng khối /124 gồm 16 địa chỉ.

Điều khoản là yếu tố quyết định ở đây. Danh sách hoạt động bị cấm của MVPS có “đường hầm GRE”, cùng proxy mở, nút thoát Tor, trình phân giải DNS mở, phân mảnh UDP và giả mạo IP. EoIP cũng không dùng được vì MikroTik xây dựng nó dựa trên GRE.

WireGuard hoặc IPsec tránh được hạn chế GRE, nhưng nút trung tâm vẫn phải tuân thủ các điều khoản khác của MVPS, gồm lệnh cấm phân mảnh UDP. Nếu bật allow-remote-requests trên DNS của CHR, hãy dùng tường lửa hạn chế cổng 53 ở giao diện công khai; nếu không, bộ định tuyến bị coi là trình phân giải mở theo các điều khoản đó.

Cloudzy

Trong năm nhà cung cấp, chỉ chúng tôi cho bạn CHR cài sẵn và khả năng tải ISO riêng trên cùng một gói. Cài đặt một lần nhấp đưa CHR hoạt động được vào đĩa mà không cần phiên cứu hộ. Tính năng ISO cho phép khởi động SystemRescue để ghi một bản dựng CHR cụ thể, hoặc bộ cài x86 của MikroTik để cài RouterOS tiêu chuẩn, mà không chuyển sang máy chủ khác.

CHR một lần nhấp của chúng tôi được cung cấp với truy cập hạn chế. Chỉ quản trị bằng Winbox trên TCP 8291 và console VNC trong bảng điều khiển; SSH, Telnet, API, WWW và FTP ban đầu đều tắt. Bạn đăng nhập bằng admin (hoặc root) với mật khẩu ban đầu của máy chủ; đặt lại mật khẩu trong bảng điều khiển không thay đổi thông tin đăng nhập đó.

Cài đặt một lần nhấp cần ít nhất 1 GB RAM. Kiểm tra phiên bản RouterOS sau khi triển khai, trước khi yêu cầu dùng thử.

Cách thứ hai dùng tính năng tải ISO tùy chỉnh của chúng tôi. Tính năng nhận tệp .iso x86_64 có thể khởi động từ URL hoặc tệp cục bộ, hỗ trợ khởi động BIOS và UEFI.

Mạng của chúng tôi có uplink dùng chung 40 Gbps, với băng thông dành riêng cho mỗi VPS qua QoS của trình ảo hóa. Với nút trung tâm P10 muốn khai thác nó, chúng tôi khuyên bắt đầu từ 2 vCPU, 4 GB, 120 GB NVMe và 5 TB, giá niêm yết 14,48 USD/tháng.

Nhà cung cấp phù hợp với từng công việc CHR

Năm nhà cung cấp khác nhau ở hai điểm. Thứ nhất là ai ghi ảnh CHR vào đĩa: bạn qua hệ thống cứu hộ hay nhà cung cấp lúc đặt hàng. Thứ hai là phí hằng tháng tại khu vực bạn cần. Giao thức đường hầm có thể quan trọng hơn cả hai, vì một nhà cung cấp cấm hoàn toàn GRE.

• Muốn nhiều RAM và lưu lượng truyền nhất trên mỗi euro, không ngại shell cứu hộ: chọn Hetzner Cloud tại Đức hoặc Phần Lan. Lựa chọn thay đổi nếu cần địa điểm tại Mỹ, nơi máy chủ tương đương đắt khoảng ba lần, hoặc muốn CHR mà không tự ghi ảnh.
• Muốn phí thấp cho cài đặt qua hệ thống cứu hộ, hoặc phiên BGP với nhà cung cấp: chọn Vultr. Lựa chọn thay đổi nếu cần lưu trữ NVMe hoặc CHR cài sẵn.
• Muốn giá niêm yết thông thường thấp nhất cho CHR cài sẵn ở châu Âu, làm nút trung tâm WireGuard hoặc IPsec: chọn MVPS. Lựa chọn thay đổi ngay khi nút trung tâm mang GRE hay EoIP, hoặc cần ISO riêng.
• Muốn CHR cài sẵn với phiên bản RouterOS chọn khi đặt hàng: chọn MonoVM. Lựa chọn thay đổi nếu cần bản dựng MonoVM không cung cấp hoặc ưu tiên giá hơn khả năng chọn phiên bản.
• Muốn CHR chạy từ bảng điều khiển ngay hôm nay, không cần phiên cứu hộ, đồng thời có thể đổi bản dựng RouterOS sau này trên cùng máy chủ: chọn Cloudzy. Lựa chọn thay đổi nếu cần phiên BGP với nhà cung cấp.

Trước khi nút trung tâm mang lưu lượng các địa điểm của bạn, hãy kiểm tra nó khởi động được, nhận bản dùng thử giấy phép và làm điểm kết thúc các đường hầm từ những địa điểm sau CGNAT. VPS MikroTik của chúng tôi gồm địa chỉ IPv4 chuyên dụng và IPv6, liệt kê việc kết thúc đường hầm là một công dụng, tính phí theo giờ và có bảo đảm hoàn tiền 14 ngày. Chọn địa điểm cùng cấu hình trên trang VPS MikroTik của chúng tôi.

Câu hỏi thường gặp