تشغيل MikroTik CHR على VPS: التثبيت والترخيص وحدود السرعة

MikroTik CHR هو نظام RouterOS كاملاً، لكنه يعمل على جهاز افتراضي بدل جهاز مادي. تأخذ سيرفر VPS، وتثبت عليه الصورة الرسمية، فيصبح عندك راوتر سحابي بعنوان ثابت. وهو نقطة مناسبة لربط الفروع، أو لاستقبال الموظفين عن بعد، أو لبناء مختبر تتعلم عليه.

لكن أخطاء البداية مكلفة: ترخيص لم يُفعَّل فيبقى النظام بحد ضئيل، أو سيرفر مكشوف على الإنترنت بلا جدار. هذا الدليل يغطي التركيب والترخيص والحماية الأولى.

متطلبات التشغيل

تحقق أولاً من أن مزودك يسمح بصورة مخصصة، أو بوضع إنقاذ، أو بتحميل ISO. فبعض الخدمات لا تعطيك وصولاً كافياً إلى القرص. واسأل أيضاً عن نوع المحاكاة، فالتوثيق الرسمي يذكر أن CHR لا يعمل على أنظمة paravirtualized.

التركيب على Proxmox

إن كنت تدير Proxmox بنفسك، فنزّل ملف .img من الصفحة الرسمية، ثم أنشئ الجهاز واستورد القرص. رقم الجهاز واسم التخزين في المثال للتوضيح، فغيّرهما بحسب بيئتك.

qm create 100 --name chr --memory 1024 --cores 2 \
    --net0 virtio,bridge=vmbr0 --serial0 socket --ostype l26
qm importdisk 100 chr-7.25.img local-zfs
qm set 100 --sata0 local-zfs:vm-100-disk-0 --boot order=sata0
qm start 100

التركيب على VPS جاهز

إذا كان مزودك يوفر وضع إنقاذ بلينكس، فاكتب الصورة مباشرة على القرص. هذا الأمر يمسح القرص كله، فتأكد من اسم القرص بالأمر lsblk أولاً:

dd if=chr-7.25.img of=/dev/vda bs=1M oflag=direct status=progress
sync

ثم أعد التشغيل من القرص، وافتح الطرفية من لوحة المزود. ولا تعتمد على SSH في أول تشغيل، فالشبكة قد لا تكون مضبوطة بعد.

أول دخول وضبط الشبكة

المستخدم الافتراضي هو admin بكلمة مرور فارغة، وسيطلب منك الإصدار الحديث تعيين كلمة مرور جديدة عند الدخول. اختر كلمة قوية، ثم أضف العنوان والمسار إن لم يكن مزودك يعطيها عبر DHCP:

# عنوان تلقائي
/ip dhcp-client add interface=ether1

# أو عنوان يدوي
/ip address add address=203.0.113.10/24 interface=ether1
/ip route add dst-address=0.0.0.0/0 gateway=203.0.113.1
/ip dns set servers=<DNS_SERVER_IP>

الترخيص وحدود السرعة

هذه أكثر نقطة يُساء فهمها. لا يعني الترخيص أن CHR سيعطيك هذه السرعة، بل هو سقف يفرضه النظام. والحد يخص الرفع لكل واجهة، وهو يختلف بحسب المستوى:

ويتيح MikroTik تجربة لمدة 60 يوماً للمستويات المدفوعة عبر حساب مسجل على موقعها. بعد انتهاء التجربة تتحول الحالة إلى ترقيات محدودة، فلا تعود قادراً على ترقية RouterOS.

/system license renew
/system license print

سيسألك الأمر الأول عن حسابك وكلمة مروره والمستوى. ولأن الرخصة تحتاج إلى تجديد دوري عبر خادم MikroTik، فلا تحجب خروج الراوتر إلى الإنترنت بالكامل. راجع حقل next-renewal-at بعد التفعيل.

الحماية قبل أي شيء آخر

CHR لا يأتي بجدار الحماية الافتراضي الذي تجده على أجهزة MikroTik المنزلية. وسيرفر VPS مكشوف للإنترنت من أول دقيقة. فنفّذ هذا قبل أي إعداد آخر:

/ip service disable telnet,ftp,www,api,api-ssl
/ip service set ssh address=<ADMIN_IP>/32
/ip service set winbox address=<ADMIN_IP>/32

/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input protocol=icmp action=accept
add chain=input protocol=tcp dst-port=22 src-address=<ADMIN_IP> action=accept
add chain=input protocol=udp dst-port=13231 action=accept comment="wireguard"
add chain=input action=drop comment="drop-all-else"

افتح Safe Mode بضغط Ctrl+X قبل هذه الأوامر. وأضف المنفذ 8291 أيضاً إن كنت تستعمل WinBox. وتحقق من وجود طريق الطرفية عند مزودك، فهو باب رجوعك إن أغلقت على نفسك.

القياس والمراقبة

لا نعطيك رقماً لسرعة CHR، فلم نقسها. السرعة الفعلية تتوقف على المعالج المضيف وعدد الأنوية والجيران على النود نفسه، ثم على الترخيص. والقرب ليس كل شيء: CHR قريب منك على عتاد مزدحم قد يخيب ظنك أكثر من سيرفر أبعد قليلاً بعتاد أقوى.

لذلك اختبر بنفسك، واقرأ الأرقام بدقة. لوحات المراقبة في Proxmox تعرض متوسطات، فقد يظهر تنزيل بسرعة 60MB/s لمدة 10 ثوانٍ كقيمة أقل بكثير. ولهذا راقب من داخل الراوتر، بأمر مثل /interface monitor-traffic ether1.

ومن قياس على أحد سيرفراتنا للمقارنة: WireGuard داخل VM بأربع أنوية على معالج Xeon E5-2698 v4 بلغ نحو 1.7Gbps قدرة تشفير داخلية. هذا الرقم يخص ذلك الإعداد على لينكس، ولا ينطبق تلقائياً على CHR.

ضبط الساعة والتحديثات

بعد الحماية الأولى، اضبط الوقت قبل أي شيء، فالسجلات بلا وقت صحيح قليلة الفائدة. والرخصة نفسها تعتمد على الاتصال بخادم MikroTik، فاحرص على أن يكون الوقت صحيحاً.

/system clock set time-zone-name=Asia/Baghdad
/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org
/system package update check-for-updates

أما التحديث، فلا تنفذه على نفق يعمل دون نسخة. خذ لقطة snapshot من لوحة المزود إن كانت متاحة، أو احفظ نسخة خارج الجهاز. ثم حدّث في وقت هادئ، وتأكد من أن طريق الطرفية يعمل قبل البدء، لأن إعادة التشغيل قد تحتاج إلى متابعة منك.

أخطاء شائعة في الأسبوع الأول

• نسيان الترخيص: تقيس السرعة على المستوى المجاني، فترى رقماً ضئيلاً وتظن أن العتاد ضعيف.
• فهم الحد بشكل خاطئ: الحد يخص الرفع لكل واجهة، فلا تتوقع أن يصف الترخيص سرعة الجهاز الفعلية.
• ترك الإدارة مفتوحة: عنوان عام مع منفذ إدارة مفتوح يعني محاولات دخول لا تتوقف.
• إغفال النسخ: صدّر الإعداد بالأمر /export بعد كل تغيير مهم، واحفظه خارج CHR.
• ذاكرة قليلة: الحد الأدنى يكفي للتشغيل، لكن التوثيق يوصي بـ1024MiB على الأقل.

وإن كنت ستخدم عدة فروع من CHR واحد، فخطط من البداية لنسخة ثانية على نود آخر، حتى لا يصبح هذا السيرفر نقطة فشل وحيدة لكل شبكتك.

ويفيدك أيضاً أن تفصل الأدوار من البداية. اجعل CHR للتوجيه والأنفاق فقط، ولا تحمّله خدمات أخرى لا تحتاج إليها. فكلما قلّت الخدمات المفعلة، قلّ ما يجب تأمينه ومراقبته. وسجّل عنوان السيرفر وإصدار النظام ومستوى الترخيص وتاريخ التجديد في ورقة واحدة، حتى يعرف زميلك ما يفعله إن غبت. فالرخصة التي تنتهي أو الحساب الذي لا يعرفه أحد مشكلة إدارية، لكنها توقف عملك كما يوقفه أي عطل تقني.

الخلاصة

راجع المحاكاة، وثبّت الصورة، وأغلق الخدمات، ثم فعّل الترخيص قبل قياس السرعة. وبهذا الترتيب يصبح CHR نقطة تحكم ثابتة لفروعك.

إن كنت تريد موارد مناسبة لتشغيل CHR، فسيرفرات مرام تعطيك خيارات نختارها معك بحسب ترافيكك واستعمالك. وتتوفر لدينا خيارات منافذ بسرعات أعلى تصل إلى 100 جيجابت حسب التوفر والموقع، ونؤكد التفاصيل قبل الطلب.