Установка Cloud Hosted Router (CHR) на виртуальный сервер отличается от стандартной переустановки операционной системы критическим моментом: после записи образа SSH-доступ к гостевой ОС исчезает, и единственным способом управления становится консоль провайдера. Поэтому проверку доступности консоли необходимо провести до начала работы с диском. CHR представляет собой версию RouterOS, предназначенную для работы в виртуальных машинах. В описываемой схеме физический MikroTik соединяет локальную сеть с частной сетью VPS через туннель WireGuard, и обе стороны работают на RouterOS 7. Импортирование диска и конфигурация сетевого оборудования зависят от конкретного провайдера, поэтому эти детали следует уточнять заранее.
Для корректной установки требуется полноценная виртуальная машина, например на базе KVM, так как контейнеры с общим ядром не подходят. Минимальные ресурсы для схемы из статьи составляют 1 vCPU и 1 ГБ оперативной памяти, при этом сам образ CHR занимает мало места. Рекомендуется использовать сетевой адаптер virtio-net вместо эмуляции E1000 для повышения производительности. Перед началом работы необходимо изучить правила провайдера касательно частной сети, возможности назначения CHR шлюзом для других VM и ограничения на пропуск пакетов с чужими исходными адресами. Также важно заранее определить тарифную лицензию: бесплатная версия ограничивает трафик до 1 Мбит/с, платные уровни P1, P10 и P-Unlimited снимают это ограничение, но имеют свои лимиты по скорости или CPU. Лицензия должна периодически синхронизироваться с сервером MikroTik, иначе обновления и смена пакетов станут недоступны.
При выборе образа для установки следует брать диск из раздела CHR на официальном сайте, а не пакет .npk, который предназначен для обновлений. Для гипервизоров типа KVM обычно подходит RAW-образ, хотя некоторые панели могут принимать qcow2 после конвертации. На момент написания материала актуальной версией RouterOS 7.23.8 является Long-term выпуск. Файл необходимо скачать целиком, проверить контрольную сумму SHA-256 и распаковать. При записи из rescue-среды важно сохранить данные с диска, размонтировать разделы, отключить swap и остановить процессы, обращенные к диску, прежде чем использовать команду dd для перезаписи всего устройства.
После первого запуска необходимо настроить сетевые параметры, сопоставив виртуальный интерфейс с портом в панели провайдера по MAC-адресу. Для свежего CHR пользователь admin имеет пустой пароль, его нужно задать сразу, а затем создать отдельного администратора с правами группы full и отключить стандартную учетную запись. До внесения изменений в сеть следует сохранить текущее состояние системы через экспорт. Все сетевые изменения рекомендуется выполнять в Safe Mode (включается сочетанием Ctrl+X), что позволяет откатить действия в случае сбоя сессии. Конфигурация включает настройку адресов WAN и локальных сетей, установку шлюза и DNS-серверов, а также создание маршрутов для обеспечения связи между подсетями.
Безопасность обеспечивается настройкой правил фильтрации в цепочках input и forward. В input разрешаются только необходимые протоколы (ICMP, SSH, WinBox) с ограничением по адресам и интерфейсам, а в forward пропуск трафика разрешается только между конкретными подсетями, участвующими в туннелировании. Службы, не используемые в работе, следует отключить, а доступ к SSH и WinBox ограничить конкретными IP-адресами администраторов. Для подключения физического роутера используется туннель WireGuard с портом 13231 и MTU 1420. Настройка включает создание интерфейсов, обмен публичными ключами, добавление пиров с указанием разрешенных адресов и настройку маршрутов. Важно помнить, что Keepalive в WireGuard предотвращает устаревание записей NAT при отсутствии трафика, а правила на физическом роутере должны быть применены перед существующими запретами, чтобы не нарушить работу текущей конфигурации.
