Integrationen · MikroTik
MikroTik 2FA: Bestätigung am Telefon für VPN und Router-Anmeldung
Für Teams, deren MikroTik-Router als VPN-Gateway oder am Netzwerkrand arbeitet. Jede VPN-Verbindung und jede Admin-Anmeldung wird mit einem Fingertipp im Notakey Authenticator bestätigt – und dafür genügt der Router, den Sie bereits haben.
So wird es angebunden
Zwei Zugänge, eine App auf dem Telefon
Beim VPN erledigt ein RouterOS-Skript die Arbeit. Der Benutzer wählt sich wie gewohnt mit Benutzernamen und Passwort ein, doch die Firewall blockiert seinen Datenverkehr, bis das Up-Skript des PPP-Profils beim Notakey-Server eine Bestätigung anfordert und der Benutzer auf dem Telefon auf Approve tippt. Lehnt er ab oder reagiert nicht, trennt das Skript die Sitzung. In diesem Setup gibt es weder RADIUS-Server noch Auth-Proxy; die Skripte stammen aus dem Repository notakey/mikrotik-2fa-vpn und laufen ab RouterOS 6.46.4, auch unter 7.x.
Bei der Anmeldung am Router selbst (WinBox, WebFig, SSH und API) schickt der Router die Anmeldungen seines Login-Dienstes an RADIUS, und der Notakey Auth-Proxy sitzt transparent in diesem RADIUS-Pfad. Der Proxy reicht die Passwortprüfung an Ihren RADIUS-Server weiter (FreeRADIUS, Microsoft NPS, den User Manager von MikroTik oder das RADIUS-Plugin von Notakey), sendet eine Bestätigungsanfrage an das Telefon des Administrators und antwortet nur dann mit Access-Accept, wenn beides erfolgreich war.
In beiden Fällen bleiben die VPN-Benutzer, ihre Passwörter und die bewährte Router-Konfiguration unverändert. Es ändert sich nur eines: Ein Passwort allein reicht für eine Anmeldung nicht mehr aus.
Was Sie vorab wissen sollten
- Das skriptbasierte VPN-Setup deckt PPP-basierte VPNs ab (L2TP/IPsec, PPTP, SSTP). Das Bestätigungsfenster im Skript beträgt 60 Sekunden.
- Der Standard-RADIUS-Timeout von MikroTik liegt bei 300 Millisekunden. Setzen Sie für die Router-Anmeldung über RADIUS timeout=30s, sonst scheitert jede Anmeldung, bevor das Telefon überhaupt vibriert.
- Behalten Sie ein lokales Admin-Konto. RouterOS prüft zuerst die lokale Benutzerdatenbank und fragt RADIUS nur bei unbekannten Benutzernamen. Über dieses Konto kommen Sie wieder hinein, falls Proxy, RADIUS oder der Notakey-Dienst nicht erreichbar sind.
- Über RADIUS authentifizierte Administratoren erhalten die Rechte der gewählten default-group, sofern Ihr RADIUS-Server nicht pro Benutzer ein Mikrotik-Group-Attribut zurückgibt. Wählen Sie die geringsten Rechte, mit denen die Arbeit noch möglich ist.
- Ist das Telefon, das die Anfrage bestätigt, zugleich der VPN-Client, ergänzen Sie eine Accept-Regel, damit wartende Clients den Notakey-Server erreichen, während alles andere noch blockiert ist.
- Der JSON-Parser des Skripts kommt mit Klammern und möglicherweise weiteren Sonderzeichen in der Bestätigungsnachricht nicht zurecht. Halten Sie den Nachrichtentext schlicht.
- Für einen einzelnen Router ist der Skriptansatz der schnellste Weg. Bei vielen Routern, VPNs anderer Hersteller oder zentralen Richtlinien ist das RADIUS-basierte Setup die bessere Wahl.
Von null zur ersten Bestätigung
- 01
Anwendung in Notakey anlegen
Legen Sie im Notakey-Dashboard eine Anwendung für das VPN oder den Router an, kopieren Sie deren Access ID und registrieren Sie die Telefone der Benutzer im Notakey Authenticator. Der Benutzername in Notakey muss exakt mit dem auf dem Router übereinstimmen, denn die Anfrage wird über den Benutzernamen adressiert.
- 02
Skripte installieren oder den Proxy als RADIUS-Server eintragen
Für das VPN fügen Sie die Bibliotheken JParseFunctions und NotakeyFunctions unter System → Scripts ein, hängen das Up-Skript an ein PPP-Profil, das neue Sitzungen in die Adressliste vpn_pending aufnimmt, und ergänzen die Firewall-Drop-Regel für diese Liste. Für die Router-Anmeldung tragen Sie den Auth-Proxy unter /radius mit service=login und timeout=30s ein und aktivieren anschließend use-radius unter /user aaa.
- 03
Mit einem Benutzer testen, dann ausrollen
Weisen Sie ein PPP-Secret dem 2FA-Profil zu oder öffnen Sie eine zweite WinBox-Sitzung mit einem RADIUS-Benutzernamen und bestätigen Sie den Push. Funktioniert das, machen Sie das 2FA-Profil zum Standardprofil des PPP-Servers – so ist jeder Benutzer abgedeckt, ohne dass Sie jedes Secret einzeln bearbeiten müssen.
Häufig gestellte Fragen
- Brauche ich für MikroTik-VPN-2FA einen RADIUS-Server?
- Nein. Bei PPP-basierten VPNs (L2TP/IPsec, PPTP, SSTP) fordert ein RouterOS-Skript die Bestätigung beim Notakey-Server an, und die Firewall blockiert die Sitzung, bis der Benutzer auf Approve tippt. RADIUS brauchen Sie nur für die Anmeldung am Router selbst (WinBox, WebFig, SSH) oder wenn viele Router oder Geräte anderer Hersteller eine gemeinsame Richtlinie nutzen sollen.
- Welche RouterOS-Versionen werden unterstützt?
- Die Skripte aus dem Repository notakey/mikrotik-2fa-vpn laufen ab RouterOS 6.46.4, auch unter 7.x.
- Warum scheitern RADIUS-Anmeldungen, bevor das Telefon überhaupt vibriert?
- Der Standard-RADIUS-Timeout von MikroTik liegt bei 300 Millisekunden. Setzen Sie im Eintrag unter /radius timeout=30s, damit der Router auf die Bestätigung wartet, statt sofort aufzugeben.