MikroTik CHR mieten – Netzwerk-VPS auch mit pfSense oder OPNsense

MikroTik Cloud Hosted Router ist RouterOS als virtuelle Maschine: dieselbe Konfiguration wie auf einem physischen MikroTik-Router, verwaltet per Winbox, SSH oder API. Das ist die naheliegende Wahl, wenn Ihr Netz schon aus MikroTik-Geräten besteht oder wenn es um reines Routing geht, also BGP, OSPF oder MPLS. Vorhandene Skripte und Exporte lassen sich meist direkt übernehmen.

pfSense CE und OPNsense sind Firewalls auf Basis von FreeBSD mit vollständiger Weboberfläche: Regeln per Alias, VPN, Captive Portal und Angriffserkennung (IDS/IPS) mit Suricata. OPNsense ist ein Fork von pfSense mit zwei großen Versionen pro Jahr und einer moderneren Oberfläche. Beide sind quelloffen und kostenlos, die Wahl ist oft Geschmackssache oder eine Frage dessen, was Ihr Team schon kennt.

RouterOS CHR lässt sich kostenlos installieren, die Version ohne Lizenz begrenzt den Durchsatz aber auf 1 Mbit/s pro Schnittstelle. Für den echten Betrieb brauchen Sie eine dauerhafte Lizenz von MikroTik: P1 für 1 Gbit/s, P10 für 10 Gbit/s oder P-Unlimited ohne Grenze. Sie kaufen sie bei MikroTik oder einem Händler und verknüpfen sie mit Ihrem MikroTik-Konto.

Mit einer kostenlosen Testlizenz für 60 Tage können Sie vorher prüfen, ob alles läuft. Die Lizenz ist nicht im Preis des Netzwerk-VPS enthalten, und wir schreiben das lieber hier, als dass Sie es beim ersten Geschwindigkeitstest herausfinden. pfSense CE und OPNsense haben diese Einschränkung nicht und laufen ohne Lizenzkosten und ohne Bandbreitengrenze.

Ein Router braucht vor allem Rechenleistung für die Verschlüsselung und wenig Arbeitsspeicher. Der Tarif Starter mit 4 vCores und 8 GB reicht für ein VPN zwischen einigen Standorten oder für rund zwanzig Mitarbeitende im Homeoffice. WireGuard ist dabei deutlich sparsamer als OpenVPN, bei gleicher Hardware schaffen Sie damit spürbar mehr Durchsatz.

Nehmen Sie den Tarif Performance mit 16 GB, wenn Sie unter OPNsense oder pfSense eine Angriffserkennung wie Suricata aktivieren: Die Paketinspektion braucht viel Arbeitsspeicher. Pro und Ultimate sind für stark ausgelastete VPN-Konzentratoren gedacht, für volle BGP-Tabellen und für Maschinen, die Firewall, Proxy und Monitoring gleichzeitig übernehmen. Ein Wechsel nach oben ist ohne Neuinstallation möglich.

Auf einem entfernten Router ist die eigene Firewall die häufigste Ursache für einen verlorenen Zugang. Unter RouterOS hilft der Safe Mode: Reißt die Verbindung ab, nimmt der Router alle Änderungen seit dem Aktivieren automatisch zurück. Legen Sie außerdem ganz am Anfang eine Regel an, die Ihre eigene Verwaltungsadresse erlaubt, bevor Sie den restlichen Verkehr sperren.

Bei pfSense und OPNsense ist die Weboberfläche auf einem VPS in der Regel über die öffentliche Schnittstelle erreichbar. Beschränken Sie den Zugriff darauf früh auf Ihre eigenen Adressen oder erreichen Sie sie nur noch durch das VPN. Und falls doch etwas schiefgeht: Die Konsole des Hypervisors läuft nicht über das Netzwerk der Maschine. Schreiben Sie uns per Ticket oder auf Discord, dann korrigieren wir den Zugang gemeinsam.