Srovnání · Cisco Duo

Alternativa k Duo pro MikroTik: 2FA bez RADIUS serveru

Pro administrátory MikroTiku, kteří hledali Duo a našli jen obecnou stránku o RADIUSu. Co jednotlivé možnosti na RouterOS obnášejí a kdy je obecná cesta přesto ta správná.

Vyžádat si demoVyzkoušet demobanku

Ve zkratce

V dokumentaci Duo jsme žádnou integraci pro MikroTik nenašli. RouterOS přesto může posílat přihlášení na Duo Authentication Proxy přes RADIUS, protože proxy funguje jako RADIUS server. To ale znamená Windows Server nebo linuxového hostitele pro proxy, za kterým obvykle stojí Active Directory nebo RADIUS server pro kontrolu hesla, a zvýšení 300milisekundového RADIUS timeoutu MikroTiku na minutu.

Notakey má pro MikroTik dvě zdokumentované cesty. U VPN založených na PPP (L2TP/IPsec, PPTP, SSTP) si skript RouterOS vyžádá schválení od serveru Notakey a firewall relaci pozdrží, dokud uživatel neklepne na Schválit: bez RADIUS serveru, bez hostitele pro proxy. U přihlášení do WinBoxu, WebFigu a SSH stojí v RADIUS cestě Notakey auth-proxy, stejně jako by stála proxy Duo. Cloudová varianta je zdarma pro prvních 6 uživatelů, on-premise zařízení pro prvních 10.

Údaje výrobců ověřeny ke dni 13. října 2026. Ceny jsou ceníkové ceny zveřejněné výrobci k tomuto datu a mohou se bez upozornění změnit.

2FA pro VPN na RouterOS
NotakeySkripty RouterOS z repozitáře notakey/mikrotik-2fa-vpn (RouterOS 6.46.4 a novější, včetně 7.x); firewall relaci blokuje, dokud nedorazí schválení z telefonu. Bez RADIUS serveru.
Cisco DuoObecný RADIUS: Duo Authentication Proxy je RADIUS serverem routeru a po primárním přihlášení automaticky odešle push. Návod výrobce pro MikroTik jsme nenašli.
Přihlášení do routeru (WinBox, WebFig, SSH)
NotakeyAuth-proxy v RADIUS cestě, s timeout=30s u položky /radius a use-radius pod /user aaa. Zdokumentováno krok za krokem.
Cisco DuoStejný mechanismus RADIUS přes proxy Duo; Duo doporučuje timeout klienta 60 sekund.
Co musíte provozovat
NotakeyCloudovou instanci Notakey, nebo zařízení jako virtuální stroj ve vlastní infrastruktuře. Cesta se skriptem nic dalšího nepotřebuje. Pro přihlášení do routeru přes RADIUS je proxy součástí zařízení; u cloudové instance běží jako kontejner, nebo pomocí instalátoru MSI na Windows, na hostiteli ve vaší síti.
Cisco DuoWindows Server 2016+ nebo linuxového hostitele pro Authentication Proxy, za kterým obvykle stojí Active Directory nebo RADIUS server pro kontrolu hesla, a k tomu účet v cloudu Duo.
Ceny (ceníkové, za uživatele a měsíc)
NotakeyCloud: prvních 6 uživatelů zdarma, poté 2,50 €. On-premise: prvních 10 uživatelů zdarma, poté 0,80 €.
Cisco DuoZdarma do 10 uživatelů; poté $3 až $9 podle edice, pod 100 uživatelů po 10 licencích.
Co uživatel uvidí
NotakeySchvalovací kartu s názvem služby, uživatelským jménem a IP adresou, ze které žádost přišla, a s odpočtem. Kartu k přihlášení, které nespustil, odmítne.
Cisco DuoDuo Push nebo telefonní hovor, odeslaný automaticky po primárním přihlášení. Verified Duo Push potřebuje obrazovku, která kód zobrazí, například přihlašovací výzvu Duo ve Windows; dokumentace Duo k RADIUSu ho nezmiňuje.
Mimo MikroTik
NotakeyZdokumentovaná nastavení pro FortiGate, Palo Alto GlobalProtect, SSH na Linuxu, vzdálenou plochu Windows, WordPress a starší webové aplikace, a k tomu podepisování transakcí.
Cisco DuoMnohem rozsáhlejší katalog integrací se SaaS a produkty dalších výrobců, důvěryhodnost zařízení a SSO.

Kdy zůstat u Duo

  • Duo už používáte pro jiné systémy a hostitele s Authentication Proxy máte připraveného; přidat router jako dalšího RADIUS klienta je pak malý krok.
  • Jinde v organizaci potřebujete SaaS integrace Duo, důvěryhodnost zařízení nebo passkeys.

Kdy sáhnout po Notakey

  • Máte jediný router MikroTik, žádnou RADIUS infrastrukturu a chcete 2FA pro VPN rychle.
  • Ověřování má zůstat na vašem vlastním zařízení, nebo je router v lokalitě, kde není volný server s Windows ani Linuxem (cesta se skriptem žádný nepotřebuje; přihlášení do routeru přes RADIUS s cloudovou instancí ale hostitele pro proxy stále vyžaduje).
  • Chcete mít správu routeru (WinBox, WebFig, SSH) i VPN za stejnou aplikací a stejným schválením, obojí zdokumentované krok za krokem.

Co Notakey neumí

  • Zdokumentovaná nastavení VPN pro MikroTik (skriptem i přes RADIUS) pokrývají VPN založené na PPP: L2TP/IPsec, PPTP a SSTP. Jiné typy tunelů, například WireGuard, pokryty nejsou.
  • JSON parser ve skriptu si neporadí se závorkami a některými dalšími interpunkčními znaky ve zprávě žádosti o schválení; text proto držte jednoduchý.
  • Žádná důvěryhodnost zařízení, žádné passkeys, žádný katalog SaaS integrací.

Časté dotazy

Podporuje Duo oficiálně MikroTik?
V dokumentaci Duo jsme žádnou integraci pro MikroTik nenašli. Platí obecná integrace RADIUS přes Duo Authentication Proxy, stejně jako pro kteréhokoli RADIUS klienta, se stejnými úvahami o timeoutech.
Které typy VPN na MikroTiku skript Notakey pokrývá?
VPN založené na PPP: L2TP/IPsec, PPTP a SSTP, na RouterOS 6.46.4 a novějším, včetně 7.x.
Jaká je na MikroTiku nejčastější chyba?
Ponechat RADIUS timeout na výchozích 300 milisekundách. U položky /radius nastavte timeout=30s (Notakey) nebo alespoň 60 sekund (Duo), jinak každé přihlášení selže dřív, než telefon vůbec zavibruje.

Zdroje

Názvy produktů jsou ochranné známky příslušných vlastníků a jsou zde použity pouze k označení srovnávaných produktů.

← Všechna srovnání

První přihlášení bez hesla už tento týden

30minutový rozhovor s inženýrem, žádná prodejní prezentace. Společně naplánujeme, jak ve vašem prostředí s VPN, SSO nebo Windows spustit funkční pilotní projekt.

Vyžádat si demoVyzkoušet demobanku