MikroTik CHR auf Hetzner Cloud installieren: Cloud Hosted Router in wenigen Schritten

Der MikroTik Cloud Hosted Router (CHR) bringt RouterOS als virtuelle Maschine auf praktisch jede Virtualisierungsplattform – auch auf einen Cloud-Server bei Hetzner. Das Problem: Anders als bei physischer Hardware gibt es hier weder einen USB-Anschluss für einen Installationsstick noch die Möglichkeit, ein eigenes ISO-Image hochzuladen. Der Weg führt stattdessen über das Rescue-System des Anbieters, von dem aus das CHR-Image direkt auf die Festplatte des Servers geschrieben wird. Wie das zuverlässig gelingt – und was direkt nach dem ersten Boot zu tun ist, damit der Router nicht offen im Netz hängt – zeigt dieser Artikel.

Voraussetzungen

Sie benötigen einen Hetzner Cloud-Server (ein kleiner Instanztyp genügt, CHR selbst braucht kaum Ressourcen), Zugriff auf die Hetzner Cloud Console sowie einen SSH-Schlüssel, den Sie beim Aktivieren des Rescue-Systems hinterlegen können – das erspart Ihnen den Umweg über ein einmaliges Rescue-Passwort.

Schritt 1: Rescue-System aktivieren

In der Hetzner Cloud Console beim betreffenden Server unter „Rescue“ das Linux-Rescue-System aktivieren und dabei den eigenen SSH-Public-Key auswählen. Anschließend den Server einmal neu starten – er bootet danach in die Rescue-Umgebung, nicht in das eigentliche (noch leere) System.

Schritt 2: Per SSH verbinden und Datenträger vorbereiten

Nach dem Login in die Rescue-Umgebung empfiehlt es sich, den Anfang der Zieldisk zu löschen, damit keine Reste einer alten Partitionstabelle die Installation stören:

dd if=/dev/zero of=/dev/sda bs=512 count=1

Das überschreibt lediglich den ersten Sektor (Bootsektor/Partitionstabelle) mit Nullen – für eine komplette Löschung der Platte wäre das nicht ausreichend, für den Zweck hier (sauberer Start ohne alte Partitionierung) aber genau richtig und deutlich schneller als ein vollständiges Überschreiben.

Schritt 3: CHR-Image herunterladen

wget https://download.mikrotik.com/routeros/7.21.5/chr-7.21.5.img.zip
unzip chr-7.21.5.img.zip

Auf der MikroTik-Download-Seite steht die jeweils aktuelle Stable-Version – die Versionsnummer in der URL vor dem Herunterladen entsprechend anpassen.

Schritt 4: Image auf die Festplatte schreiben

dd if=chr-7.21.5.img of=/dev/sda bs=1M oflag=sync
shutdown -r now

Die Blockgröße bs=1M beschleunigt den Schreibvorgang gegenüber der Standardgröße erheblich, oflag=sync sorgt zusätzlich dafür, dass jeder Block tatsächlich auf die Disk geschrieben ist, bevor dd zum nächsten übergeht – sicherer als ein einzelnes sync am Ende, gerade bei virtuellen Cloud-Disks. Je nach Anbindung dauert der Schreibvorgang spürbar – hier lohnt sich Geduld, ein Abbruch mittendrin macht die Installation unbrauchbar. Nach dem Neustart bootet der Server direkt in RouterOS.

Schritt 5: Sofort nach dem ersten Boot absichern

Das ist der wichtigste Schritt in diesem Artikel: Ein frisch installiertes CHR ist standardmäßig ohne Passwort und ohne aktive Firewall erreichbar – bis zur ersten Absicherung liegt der Router offen im Netz. Folgende Punkte gehören direkt nach dem ersten Login dazu, in dieser Reihenfolge:

1. Administrator-Passwort setzen – der Benutzer admin hat werkseitig kein Passwort.
2. Nicht benötigte Dienste deaktivieren:

   /ip service disable telnet,ftp,www,api,api-ssl

3. Firewall aktivieren – auf zwei Ebenen: zum einen über die Hetzner Cloud Firewall (schränkt bereits vor dem Router ein, welche Ports überhaupt ankommen), zum anderen über die RouterOS-eigene Firewall als zweite Verteidigungslinie:

   /ip firewall filter
   add chain=input action=accept connection-state=established,related comment="bestehende Verbindungen erlauben"
   add chain=input action=drop connection-state=invalid comment="ungueltige Pakete verwerfen"
   add chain=input protocol=tcp dst-port=22,8291 src-address=203.0.113.99 action=accept comment="SSH/Winbox nur von der Admin-IP"
   add chain=input action=drop comment="Rest blocken"

   Die Admin-IP-Adresse (hier beispielhaft 203.0.113.99) durch die tatsächliche feste IP ersetzen, von der aus administriert wird – ohne diese Einschränkung ist Port 8291 (Winbox) bzw. 22 (SSH) weltweit erreichbar.
4. Lizenz prüfen: Ohne gültige Lizenz drosselt CHR alle Interfaces auf 1 Mbit/s. Für erste Tests reicht die 60 Tage gültige Testlizenz, für den Produktivbetrieb ist mindestens eine p1-Lizenz (1 GBit/s) nötig.

Wie es weitergeht

Damit steht ein abgesicherter CHR-Router auf Hetzner Cloud bereit. Häufigster nächster Schritt in der Praxis: die Kopplung mit einem dedizierten Server per VXLAN-Overlay, etwa um einen leistungsstarken Root-Server hinter dem Cloud-Router zu verstecken. Genau diesen Aufbau – inklusive WireGuard-Fernzugriff und HAProxy-Terminierung – beschreiben wir im Detail in unserem Artikel Hetzner Cloud und Proxmox per VXLAN verbinden.

Fazit

Die Installation von MikroTik CHR auf einem Hetzner Cloud-Server ist in wenigen Minuten erledigt – entscheidend ist, die Absicherung nicht erst „später“ nachzuholen, sondern direkt im Anschluss an den ersten Boot. Passwort, deaktivierte Dienste und eine zweistufige Firewall sind dabei kein „Nice-to-have“, sondern die Grundvoraussetzung für einen produktiv nutzbaren Router in der Cloud. Wir übernehmen Einrichtung und Absicherung solcher Cloud-Router auch komplett für unsere Kunden – sprechen Sie uns an.