Що знадобиться

• VPS з Ubuntu і доступом root/sudo.
• Мережеві дані провайдера: IP/префікс і шлюз за замовчуванням — заздалегідь збережемо їх.
• Доступ до аварійної консолі (VNC/Serial) у панелі провайдера на випадок, якщо після запису образу мережеве з’єднання ще не буде відновлено.

Перевіряємо та зберігаємо мережеві параметри до перезапису диска (обов’язково)

Цей крок виконується до перезапису диска та встановлення MikroTik CHR. Після запису RAW-образу поточну Ubuntu буде повністю видалено, SSH-доступ зникне, а налаштувати мережу в CHR можна буде лише вручну через VNC-консоль, використовуючи заздалегідь збережені параметри. Тому перед продовженням обов’язково збережіть мережеві налаштування, надані провайдером.

Які дані потрібно зберегти

1. IP-адреса та маска (префікс)

Приклад: 203.0.113.10/24

Це значення використовуватиметься під час додавання IP-адреси в CHR.

1. Шлюз за замовчуванням (default gateway)

Приклад: 203.0.113.1

Ця адреса знадобиться для налаштування маршруту за замовчуванням.

1. Тип мережі — звичайна або /32

Якщо IP-адресу виділено з маскою /32 (часто трапляється у VPS-провайдерів), це потребуватиме особливого налаштування на стороні CHR.

Приклад мережі з /32:

• IP: 85.85.85.85/32
• Шлюз: 10.0.0.1

Для таких мереж шлюз указується вручну під час додавання IP-адреси.

sudo -i
ip -c a
ip -c r

Підготовка Ubuntu та збереження мережевих параметрів

sudo -i
apt update && apt -y install unzip
ip -c a   # збережіть вашу IP-адресу/префікс, наприклад 203.0.113.10/24
ip -c r   # запишіть default gateway, наприклад 203.0.113.1

Ці дані знадобляться під час початкового налаштування CHR через консоль після перезавантаження.

Завантажуємо RAW-образ Cloud Hosted Router

cd /tmp
wget https://download.mikrotik.com/routeros/version/chr-.img.zip
unzip chr-.img.zip   # отримаємо chr-.img

У першій команді посилання потрібно взяти із сайту MikroTik для LongTerm-версії CHR MikroTik. https://mikrotik.com/download/chr Вибирайте RAW disk без arm64. Приклад посилання: https://download.mikrotik.com/routeros/7.23.7/chr-7.23.7.img.zip

Визначаємо цільовий диск

fdisk -l
# Наприклад, цільовий диск /dev/sda

Запам’ятовуємо позначення диска, наприклад /dev/sda.

Переводимо файлові системи в режим read-only

echo u > /proc/sysrq-trigger
sync

Це знижує ризик «пошкодження» образу під час використання dd (траплялися випадки з помилкою xz-compressed data is corrupt).

Записуємо образ на диск (dd)

dd if=chr-.img of=/dev/sda bs=4M oflag=sync status=progress

У цій команді вкажіть актуальне ім’я образу та назву диска. Дочекайтеся завершення операції без помилок. Поточну Ubuntu буде повністю перезаписано.

Перезавантаження в CHR

echo 1 > /proc/sys/kernel/sysrq
echo b > /proc/sysrq-trigger

SSH-з’єднання буде розірвано. VPS завантажиться в CHR зі стандартними налаштуваннями.

Перший вхід через VNC-консоль

• Відкрийте аварійну VNC-консоль у панелі провайдера.
• Логін admin, пароль порожній → підтвердьте ознайомлення з ліцензією → відразу встановіть новий пароль.
• У нових моделях/збірках стандартні налаштування можуть відрізнятися, але для CHR типовий сценарій — користувач admin без пароля під час першого входу.

Налаштування IP-адреси в RouterOS (CLI)

У консолі RouterOS (CLI з меню):

ip
address
add
address=203.0.113.10/24
interface=ether1

RouterOS самостійно розрахує network/broadcast відповідно до префікса; адресу також можна додати одним рядком:

/ip address add address=203.0.113.10/24 interface=ether1

Випадок із /32 (часто в хмарних мережах)

Якщо провайдер видає публічну IP-адресу з маскою /32 і «зовнішнім» шлюзом (наприклад, 10.0.0.1), задайте мережу вручну:

/ip address add address=85.85.85.85/32 interface=ether1 network=10.0.0.1

Потім додайте маршрут за замовчуванням:

/ip route add gateway=10.0.0.1

Це стандартний робочий варіант налаштування для /32, підтверджений практикою.

Маршрут за замовчуванням (default route)

Коротка форма:

/ip route add gateway=203.0.113.1

Після налаштування адреси та шлюзу CHR стане доступним у мережі.

Доступ до WebFig/Winbox

• Відкрийте http:// для WebFig (або https:// після ввімкнення HTTPS).

• Або підключіться через Winbox (за замовчуванням TCP 8291).

• Логін admin, ваш новий пароль.

Що потрібно зробити відразу після запуску мережі

Мінімальні заходи безпеки (вимикаємо зайве, змінюємо порти сервісів)

/ip service print
/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes         # увімкніть www-ssl замість звичайного HTTP
/ip service set api disabled=yes
/ip service set api-ssl disabled=yes
/ip service set ssh address=0.0.0.0/0    # за потреби обмежте доступ
/ip service set winbox port=8291         # за бажанням змініть порт

WebFig і Winbox — схожі за можливостями засоби керування; за замовчуванням WebFig працює через HTTP на порту 80 (краще ввімкнути HTTPS), а Winbox — через TCP 8291.
Увімкнути HTTPS для WebFig:

/ip service set www disabled=yes
/ip service set www-ssl disabled=no certificate=<ваш-сертифікат>

Користувач і пароль

/user add name=ops group=full password="СкладнийПароль123!"
/user disable admin

(або залиште admin, але встановіть складний пароль і обмежте доступ за IP-адресою)

Час і NTP

/system clock set time-zone-name=Etc/UTC
/system ntp client set enabled=yes servers=pool.ntp.org

Базовий NAT (якщо CHR використовується як інтернет-маршрутизатор)

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Мінімальний брандмауер для керування

/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input protocol=tcp dst-port=22,8291,443,80 src-address-list=mgmt action=accept
add chain=input in-interface=ether1 action=drop comment="drop rest from WAN"

/ip firewall address-list
add list=mgmt address=203.0.113.0/24

Оновлення та ліцензія CHR

Перевірити та оновити RouterOS:

/system package update check-for-updates
/system package update install

Перевірити ліцензію CHR:

/system license print

(Для виробничих навантажень вибирають p1/p10/p-unlimited — див. офіційний розділ CHR)

Налаштування: типові проблеми

• «xz-compressed data is corrupt / System halted» після dd
• Часта причина — запис у «живу» файлову систему. Переведення файлової системи в режим read-only перед dd допомагає уникнути проблеми. Якщо проблема повторюється, використайте 6.49.10, завантажте систему, а потім оновіть її до 7.x.
• Відсутній ping після перезавантаження
• Переконайтеся, що ви вказали адресу та шлюз у CHR (кроки 8–9). Для /32 вказуйте network=<gateway> під час додавання адреси та задайте маршрут gateway=<gateway>.
• Не відкривається WebFig/Winbox
• Увійдіть через аварійну консоль, перевірте /ip service print, налаштування брандмауера та переконайтеся, що використовуєте правильний порт (Winbox 8291/TCP).

Додатково: коротка таблиця конфігурацій

Підключення через DHCP (якщо хмарний провайдер видає адресу динамічно)

/ip dhcp-client add interface=ether1 use-peer-dns=yes use-peer-ntp=yes

(Для серверних середовищ статична IP-адреса є кращим варіантом.)

Bridge (якщо в CHR буде кілька інтерфейсів)

/interface bridge add name=br0
/interface bridge port add bridge=br0 interface=ether1
/ip address add address=192.0.2.10/24 interface=br0

VLAN на інтерфейсі

/interface vlan add name=wan.100 vlan-id=100 interface=ether1
/ip address add address=203.0.113.10/24 interface=wan.100
/ip route add gateway=203.0.113.1