Что потребуется

• VPS с Ubuntu 20.04 (желательно) и доступом root/sudo.
• Сетевые данные провайдера: IP/префикс и шлюз по умолчанию — запишем их заранее.
• Доступ к аварийной консоли (VNC/Serial) в панели провайдера на случай, если сеть после записи ещё не восстановлена.

Проверяем и фиксируем сетевые параметры перед перезаписью диска (обязательно)

Этот шаг выполняется до перезаписи диска и установки MikroTik CHR. После записи RAW-образа текущая Ubuntu будет полностью удалена, SSH-доступ исчезнет, и настроить сеть в CHR можно будет только вручную через аварийную консоль, используя заранее сохраненные параметры. Поэтому перед продолжением обязательно сохраните сетевые настройки, предоставленные провайдером.

Какие данные нужно сохранить

1. IP-адрес и маска (префикс)

Пример: 203.0.113.10/24

Это значение будет использоваться при добавлении IP-адреса в CHR.

1. Шлюз по умолчанию (default gateway)

Пример: 203.0.113.1

Этот адрес потребуется для настройки маршрута по умолчанию.

1. Тип сети — обычная или /32

Если IP-адрес выделен с маской /32 (часто встречается у VPS-провайдеров), это потребует особой настройки на стороне CHR.

Пример сети с /32:

• IP: 85.85.85.85/32
• Шлюз: 10.0.0.1

Для таких сетей шлюз указывается вручную при добавлении IP-адреса

sudo -i
ip -c a
ip -c r

Подготовка Ubuntu и фиксация сетевых параметров

sudo -i
apt update && apt -y install unzip
ip -c a   # зафиксируйте ваш IP/префикс, например 203.0.113.10/24
ip -c r   # запишите default gateway, например 203.0.113.1

Это пригодится при первоначальной настройке CHR через консоль после перезагрузки.

Загружаем RAW-образ Cloud Hosted Router

cd /tmp
wget https://download.mikrotik.com/routeros//chr-.img.zip
unzip chr-.img.zip   # получим chr-.img

Где — стабильная версия. Если новая версия не загружается — используйте 6.49.10, затем обновите через CHR.

Определяем целевой диск

fdisk -l
# Например, целевой диск /dev/sda

Внимание: убедитесь в правильности настроек, запись будет разрушительной.

Переводим файловые системы в режим read-only

echo u > /proc/sysrq-trigger
sync

Это снижает риск «повреждения» образа при использовании dd (были случаи с xz-compressed data is corrupt).

Записываем образ на диск (dd)

dd if=chr-.img of=/dev/sda bs=4M oflag=sync status=progress

Дождитесь завершения без ошибок. Это полностью перезапишет текущую Ubuntu.

Жесткая перезагрузка в CHR

echo 1 > /proc/sys/kernel/sysrq
echo b > /proc/sysrq-trigger

SSH прервётся. VPS загрузится в CHR в состоянии по умолчанию — сети ещё нет.

Первый вход в аварийную консоль

• Откройте аварийную консоль в панели провайдера.
• Логин admin, пароль пустой → подтвердите ознакомление с лицензией → сразу же установите новый пароль.
• На новых моделях/сборках бывают другие настройки по умолчанию, но для CHR типичный сценарий — admin без пароля при первом входе.

Настройка IP-адреса в RouterOS (CLI)

В консоли RouterOS (меню-ориентированная CLI):

ip
address
add
address=203.0.113.10/24
interface=ether1

RouterOS сам рассчитает network/broadcast по префиксу; адрес можно добавить и в одну строку:

/ip address add address=203.0.113.10/24 interface=ether1

Случай с /32 (часто в облачных сетях)

Если провайдер выдает публичный IP с маской /32 и «внешним» шлюзом (например, 10.0.0.1), задайте сеть вручную:

/ip address add address=85.85.85.85/32 interface=ether1 network=10.0.0.1

Затем маршрут по умолчанию:

/ip route add gateway=10.0.0.1

Это стандартный рабочий рецепт для /32, подтверждённый практикой.

Маршрут по умолчанию (default route)

Краткая форма:

/ip route add gateway=203.0.113.1

После установки адреса и шлюза CHR станет доступен в сети.

Доступ к WebFig/Winbox

• Откройте http:// для WebFig (или https:// при включенном HTTPS).

• Или подключитесь к Winbox (по умолчанию TCP 8291).

• Логин admin, ваш новый пароль.

Что нужно сделать сразу после запуска сети

Минимальные меры безопасности (отключаем лишнее, меняем порты сервисов)

/ip service print
/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes         # включите www-ssl замість plain-HTTP
/ip service set api disabled=yes
/ip service set api-ssl disabled=yes
/ip service set ssh address=0.0.0.0/0    # при необходимости сузьте
/ip service set winbox port=8291         # при желании измените порт

WebFig и Winbox — похожие по возможностям менеджеры; по умолчанию WebFig — HTTP на 80 (лучше включить HTTPS), Winbox — TCP 8291.
Включить HTTPS для WebFig:

/ip service set www disabled=yes
/ip service set www-ssl disabled=no certificate=<ваш-cert>

Пользователь и пароль

/user add name=ops group=full password="СложныйПароль123!"
/user disable admin

(или оставьте admin, но задайте сложный пароль и ограничьте доступ по адресу)

Время и NTP

/system clock set time-zone-name=Etc/UTC
/system ntp client set enabled=yes servers=pool.ntp.org

Базовый NAT (если это ваш «интернет-маршрутизатор»)

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Мини-брандмауэр для управления

/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input protocol=tcp dst-port=22,8291,443,80 src-address-list=mgmt action=accept
add chain=input in-interface=ether1 action=drop comment="drop rest from WAN"

/ip firewall address-list
add list=mgmt address=203.0.113.0/24

Обновление и лицензия CHR

Проверить и обновить RouterOS:

/system package update check-for-updates
/system package update install

Проверить лицензию CHR:

/system license print

(Для производственных нагрузок выбирают p1/p10/p-unlimited — см. официальный раздел CHR)

Настройка: типичные проблемы

• «xz-compressed data is corrupt / System halted» после dd
• Частая причина — запись в «живую» ФС. Перевод ФС в режим read-only перед dd помогает. При проблемах используйте 6.49.10, загрузитесь, затем обновите до 7.x.
• Отсутствует пинг после перезагрузки
• Убедитесь, что вы указали адрес и шлюз в CHR (шаги 8–9). Для /32 указывайте network= при добавлении адреса и задайте маршрут gateway=.
• Не открывается WebFig/Winbox
• Войдите через аварийную консоль, проверьте /ip service print, брандмауэр и то, что вы смотрите на правильный порт (Winbox 8291/TCP).

Дополнительно: краткая таблица конфигураций

Вход по DHCP (если облако выдает адрес динамически)

/ip dhcp-client add interface=ether1 use-peer-dns=yes use-peer-ntp=yes

(Для серверных сред статический адрес является лучшим вариантом.)

Bridge (если в CHR будет несколько интерфейсов)

/interface bridge add name=br0
/interface bridge port add bridge=br0 interface=ether1
/ip address add address=192.0.2.10/24 interface=br0

VLAN на интерфейсе

/interface vlan add name=wan.100 vlan-id=100 interface=ether1
/ip address add address=203.0.113.10/24 interface=wan.100
/ip route add gateway=203.0.113.1