Vergleich · Cisco Duo

Eine Duo-Alternative für MikroTik: 2FA ohne RADIUS-Server

Für MikroTik-Administratoren, die nach Duo gesucht und nur eine allgemeine RADIUS-Seite gefunden haben. Hier steht, was jede Option auf RouterOS voraussetzt und wann der allgemeine Weg trotzdem der richtige ist.

Demo anfordernDemobank ausprobieren

Das Wichtigste in Kürze

In der Duo-Dokumentation haben wir keine MikroTik-Integration gefunden. RouterOS kann Anmeldungen trotzdem per RADIUS an den Duo Authentication Proxy schicken, denn der Proxy arbeitet als RADIUS-Server. Das bedeutet aber einen Windows-Server oder Linux-Host für den Proxy, dahinter in der Regel Active Directory oder einen RADIUS-Server für die Passwortprüfung, und einen RADIUS-Timeout, der von den 300 Millisekunden des MikroTik-Standards auf eine Minute erhöht werden muss.

Notakey bietet zwei dokumentierte Wege für MikroTik. Bei PPP-basierten VPNs (L2TP/IPsec, PPTP, SSTP) fordert ein RouterOS-Skript die Bestätigung beim Notakey-Server an, und die Firewall hält die Sitzung zurück, bis der Benutzer auf Approve tippt: kein RADIUS-Server, kein Proxy-Host. Bei WinBox-, WebFig- und SSH-Anmeldungen sitzt der Notakey Auth-Proxy im RADIUS-Pfad, so wie es der von Duo täte. Die Cloud-Stufe ist für die ersten 6 Benutzer kostenlos, die On-Premise-Appliance für die ersten 10.

Anbieterangaben geprüft am 13. Oktober 2026. Die Preise sind die zu diesem Datum veröffentlichten Listenpreise der Anbieter und können sich ohne Ankündigung ändern.

VPN-2FA auf RouterOS
NotakeyRouterOS-Skripte aus dem Repository notakey/mikrotik-2fa-vpn (ab RouterOS 6.46.4, auch 7.x); die Firewall blockiert die Sitzung, bis die Bestätigung vom Telefon eintrifft. Kein RADIUS-Server.
Cisco DuoAllgemeines RADIUS: Der Duo Authentication Proxy ist der RADIUS-Server des Routers und sendet nach der primären Anmeldung automatisch einen Push. Eine Herstelleranleitung für MikroTik haben wir nicht gefunden.
Router-Anmeldung (WinBox, WebFig, SSH)
NotakeyDer Auth-Proxy im RADIUS-Pfad, mit timeout=30s im Eintrag unter /radius und use-radius unter /user aaa. Schritt für Schritt dokumentiert.
Cisco DuoDerselbe RADIUS-Mechanismus über den Duo-Proxy; Duo empfiehlt einen Client-Timeout von 60 Sekunden.
Was Sie betreiben müssen
NotakeyEine Notakey-Cloud-Instanz oder die Appliance-VM im eigenen Haus. Der Skriptweg braucht sonst nichts. Für Router-Anmeldungen über RADIUS ist der Proxy in der Appliance enthalten; bei einer Cloud-Instanz läuft er als Container oder per MSI-Installer unter Windows auf einem Host in Ihrem Netzwerk.
Cisco DuoEinen Host mit Windows Server 2016+ oder Linux für den Authentication Proxy, meist mit Active Directory oder einem RADIUS-Server dahinter für die Passwortprüfung, dazu das Duo-Cloud-Konto.
Preise (Listenpreis, pro Benutzer und Monat)
NotakeyCloud: die ersten 6 Benutzer kostenlos, danach 2,50 €. On-Premise: die ersten 10 Benutzer kostenlos, danach 0,80 €.
Cisco DuoKostenlos bis 10 Benutzer; danach $3 bis $9 je nach Edition, unter 100 Benutzern in Schritten von 10 Lizenzen.
Was der Benutzer sieht
NotakeyEine Bestätigungskarte mit Dienstnamen, Benutzernamen und der IP-Adresse, von der die Anfrage kam, sowie einem Countdown. Eine Karte für eine Anmeldung, die der Benutzer nicht selbst ausgelöst hat, wird abgelehnt.
Cisco DuoEin Duo Push oder ein Telefonanruf, automatisch nach der primären Anmeldung. Verified Duo Push braucht einen Bildschirm, der den Code anzeigt, etwa die Windows-Logon-Abfrage von Duo; die RADIUS-Dokumentation von Duo erwähnt Verified Duo Push nicht.
Über MikroTik hinaus
NotakeyDokumentierte Setups für FortiGate, Palo Alto GlobalProtect, Linux-SSH, Windows-Remotedesktop, WordPress und ältere Webanwendungen, dazu Transaktionssignierung.
Cisco DuoEin deutlich größerer Katalog an SaaS- und Herstellerintegrationen, Gerätevertrauen und SSO.

Bleiben Sie bei Duo, wenn

  • Sie Duo bereits für andere Systeme einsetzen und der Host für den Authentication Proxy schon steht; den Router als weiteren RADIUS-Client hinzuzufügen, ist dann ein kleiner Schritt.
  • Sie an anderer Stelle in der Organisation die SaaS-Integrationen, das Gerätevertrauen oder die Passkeys von Duo brauchen.

Nehmen Sie Notakey, wenn

  • Sie einen einzelnen MikroTik-Router und keine RADIUS-Infrastruktur haben und schnell VPN-2FA einführen wollen.
  • Die Authentifizierung auf Ihrer eigenen Appliance bleiben soll oder der Router an einem Standort ohne freien Windows- oder Linux-Server steht (der Skriptweg braucht keinen; für Router-Anmeldungen über RADIUS ist bei einer Cloud-Instanz weiterhin ein Host für den Proxy nötig).
  • Sie die Administrationsebene (WinBox, WebFig, SSH) und das VPN mit derselben App und derselben Bestätigung absichern wollen, beides Schritt für Schritt dokumentiert.

Was Notakey nicht kann

  • Die dokumentierten MikroTik-VPN-Setups (Skript oder RADIUS) decken PPP-basierte VPNs ab: L2TP/IPsec, PPTP und SSTP. Andere Tunneltypen wie WireGuard sind nicht abgedeckt.
  • Der JSON-Parser des Skripts kommt mit Klammern und einigen weiteren Satzzeichen in der Bestätigungsnachricht nicht zurecht; halten Sie den Text schlicht.
  • Kein Gerätevertrauen, keine Passkeys, kein SaaS-Katalog.

Häufig gestellte Fragen

Unterstützt Duo MikroTik offiziell?
In der Duo-Dokumentation haben wir keine MikroTik-Integration gefunden. Es gilt die allgemeine RADIUS-Integration über den Duo Authentication Proxy, wie für jeden RADIUS-Client, mit denselben Überlegungen zum Timeout.
Welche MikroTik-VPN-Typen deckt das Notakey-Skript ab?
PPP-basierte VPNs: L2TP/IPsec, PPTP und SSTP, ab RouterOS 6.46.4, auch unter 7.x.
Was ist der häufigste Fehler bei MikroTik?
Den RADIUS-Timeout auf dem Standardwert von 300 Millisekunden zu belassen. Setzen Sie im Eintrag unter /radius timeout=30s (Notakey) oder mindestens 60 Sekunden (Duo), sonst scheitert jede Anmeldung, bevor das Telefon überhaupt vibriert.

Quellen

Produktnamen sind Marken ihrer jeweiligen Inhaber und werden nur zur Kennzeichnung der verglichenen Produkte verwendet.

← Alle Vergleiche

Ihre erste passwortlose Anmeldung – noch diese Woche

30 Minuten mit einem Ingenieur statt einer Vertriebspräsentation. Gemeinsam planen wir, wie in Ihrer VPN-, SSO- oder Windows-Umgebung ein funktionierendes Pilotprojekt an den Start geht.

Demo anfordernDemobank ausprobieren