*КУБ - повний комплекс хмарних послуг!

Отримати консультацію
Telegram +380443693988
UA

Що знадобиться

Перевіряємо і фіксуємо мережеві параметри до перезапису диска (обов’язково)

Цей крок виконується до перезапису диска і інсталяції MikroTik CHR. Після запису RAW-образу поточна Ubuntu буде повністю видалена, SSH-доступ зникне, і налаштувати мережу в CHR можна буде тільки вручну через аварійну консоль, використовуючи заздалегідь збережені параметри. Тому перед продовженням обов’язково зафіксуйте мережеві налаштування, які видав провайдер.

Які дані потрібно зберегти

  1. IP-адреса і маска (префікс)

Приклад: 203.0.113.10/24

Це значення буде використовуватися при додаванні IP-адреси в CHR.

  1. Шлюз за замовчуванням (default gateway)

Приклад: 203.0.113.1

Ця адреса буде потрібна для налаштування маршруту за замовчуванням.

  1. Тип мережі — звичайна або /32

Якщо IP видано з маскою /32 (часто зустрічається у VPS-провайдерів), це вимагатиме особливого налаштування на стороні CHR.

Приклад мережі з /32:

Для таких мереж шлюз вказується вручну при додаванні IP-адреси

sudo -i
ip -c a
ip -c r

Підготовка Ubuntu та фіксація мережевих параметрів

sudo -i
apt update && apt -y install unzip
ip -c a   # зафіксуйте ваш IP/префікс, наприклад 203.0.113.10/24
ip -c r   # випишіть default gateway, наприклад 203.0.113.1

Це стане в нагоді при первинному налаштуванні CHR через консоль після перезавантаження.

Завантажуємо RAW-образ Cloud Hosted Router

cd /tmp
wget https://download.mikrotik.com/routeros/<VER>/chr-<VER>.img.zip
unzip chr-<VER>.img.zip   # отримаємо chr-<VER>.img

Де <VER> — стабільна версія. Якщо свіжа не завантажується — використовуйте 6.49.10, потім оновіть через CHR.

Визначаємо цільовий диск

fdisk -l
# Наприклад, цільовий диск /dev/sda

Обережно: переконайтеся в правильності налаштувань, запис буде руйнівним.

Переводимо файлові системи в режим read-only

echo u > /proc/sysrq-trigger
sync

Це знижує ризик «пошкодження» образу при dd (були випадки з xz-compressed data is corrupt).

Записуємо образ на диск (dd)

dd if=chr-<VER>.img of=/dev/sda bs=4M oflag=sync status=progress

Дочекайтеся завершення без помилок. Це повністю перезапише поточну Ubuntu.

Жорстке перезавантаження в CHR

echo 1 > /proc/sys/kernel/sysrq
echo b > /proc/sysrq-trigger

SSH обірветься. VPS завантажиться під CHR у дефолтному стані — мережі ще немає.

Перший вхід в аварійну консоль

Налаштування IP-адреси в RouterOS (CLI)

У консолі RouterOS (меню-орієнтована CLI):

ip
address
add
address=203.0.113.10/24
interface=ether1

RouterOS сам розрахує network/broadcast за префіксом; адресу можна додати і в один рядок:

/ip address add address=203.0.113.10/24 interface=ether1

Випадок з /32 (часто в хмарах)

Якщо провайдер видає публічний IP з маскою /32 і «зовнішнім» шлюзом (наприклад, 10.0.0.1), задайте network вручну:

/ip address add address=85.85.85.85/32 interface=ether1 network=10.0.0.1

Потім маршрут за замовчуванням:

/ip route add gateway=10.0.0.1

Це стандартний робочий рецепт для /32, підтверджений практикою.

Маршрут за замовчуванням (default route)

Коротка форма:

/ip route add gateway=203.0.113.1

Після встановлення адреси та шлюзу CHR стане доступним у мережі.

Доступ до WebFig/Winbox

Що зробити відразу після підйому мережі

Міні-безпека (відключаємо зайве, змінюємо сервіс-порти)

/ip service print
/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes         # увімкніть www-ssl замість plain-HTTP
/ip service set api disabled=yes
/ip service set api-ssl disabled=yes
/ip service set ssh address=0.0.0.0/0    # звузьте при необхідності
/ip service set winbox port=8291         # за бажанням змініть порт

WebFig і Winbox — схожі за можливостями менеджери; за замовчуванням WebFig — HTTP на 80 (краще ввімкнути HTTPS), Winbox — TCP 8291.
Увімкнути HTTPS для WebFig:

/ip service set www disabled=yes
/ip service set www-ssl disabled=no certificate=<ваш-cert>

Користувач і пароль

/user add name=ops group=full password="СкладнийПароль123!"
/user disable admin

(або залиште admin, але задайте складний пароль і обмежте доступ за адресою)

Час і NTP

/system clock set time-zone-name=Etc/UTC
/system ntp client set enabled=yes servers=pool.ntp.org

Базовий NAT (якщо це ваш «інтернет-маршрутизатор»)

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Міні-фаєрвол для управління

/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input protocol=tcp dst-port=22,8291,443,80 src-address-list=mgmt action=accept
add chain=input in-interface=ether1 action=drop comment="drop rest from WAN"

/ip firewall address-list
add list=mgmt address=203.0.113.0/24

Оновлення та ліцензія CHR

Перевірити та оновити RouterOS:

/system package update check-for-updates
/system package update install

Перевірити ліцензію CHR:

/system license print

(Для продакшн-навантажень вибирають p1/p10/p-unlimited — див. офіційний розділ CHR)

Налагодження: типові проблеми

Додатково: швидка сітка конфігурацій

Вхід по DHCP (якщо хмара видає адресу динамічно)

/ip dhcp-client add interface=ether1 use-peer-dns=yes use-peer-ntp=yes

(Для серверних середовищ статична адреса є кращим варіантом.)

Bridge (якщо в CHR буде кілька інтерфейсів)

/interface bridge add name=br0
/interface bridge port add bridge=br0 interface=ether1
/ip address add address=192.0.2.10/24 interface=br0

VLAN на інтерфейсі

/interface vlan add name=wan.100 vlan-id=100 interface=ether1
/ip address add address=203.0.113.10/24 interface=wan.100
/ip route add gateway=203.0.113.1
Menu