¿Admite Duo oficialmente MikroTik?

No hemos encontrado ninguna integración con MikroTik en la documentación de Duo. Se aplica la integración RADIUS genérica a través del Duo Authentication Proxy, como a cualquier cliente RADIUS, con las mismas consideraciones sobre el tiempo de espera.

¿Qué tipos de VPN de MikroTik cubre el script de Notakey?

Las VPN basadas en PPP: L2TP/IPsec, PPTP y SSTP, en RouterOS 6.46.4 o posterior, incluida la versión 7.x.

¿Cuál es el error más habitual en MikroTik?

Dejar el tiempo de espera RADIUS en su valor por defecto de 300 milisegundos. Configure timeout=30s (Notakey) o al menos 60 segundos (Duo) en la entrada /radius, o todos los inicios de sesión fallarán antes de que vibre el teléfono.

Comparativa · Cisco Duo

Una alternativa a Duo para MikroTik: 2FA sin servidor RADIUS

Para administradores de MikroTik que buscaron Duo y solo encontraron una página genérica sobre RADIUS. Esto es lo que exige cada opción en RouterOS, y cuándo la vía genérica sigue siendo la adecuada.

Solicitar una demo Probar el demobank

En resumen

No hemos encontrado ninguna integración con MikroTik en la documentación de Duo. RouterOS puede enviar igualmente los inicios de sesión al Duo Authentication Proxy por RADIUS, porque el proxy actúa como servidor RADIUS, pero eso implica un Windows Server o un equipo Linux para el proxy, normalmente con Active Directory o un servidor RADIUS detrás para comprobar la contraseña, y subir el tiempo de espera RADIUS de MikroTik, de 300 milisegundos, a un minuto.

Notakey ofrece dos vías documentadas para MikroTik. Para las VPN basadas en PPP (L2TP/IPsec, PPTP, SSTP), un script de RouterOS solicita la aprobación al servidor de Notakey y el firewall retiene la sesión hasta que el usuario toca Aprobar: sin servidor RADIUS ni equipo para el proxy. Para el acceso por WinBox, WebFig y SSH, el auth-proxy de Notakey se sitúa en la ruta RADIUS, igual que lo haría el de Duo. El nivel en la nube es gratuito para los 6 primeros usuarios, y el appliance on-premise, para los 10 primeros.

Datos de los proveedores comprobados el 13 de octubre de 2026. Los precios son los de tarifa publicados por cada proveedor en esa fecha y pueden cambiar sin previo aviso.

Aspecto

Notakey

Cisco Duo

2FA para la VPN en RouterOS: NotakeyScripts de RouterOS del repositorio notakey/mikrotik-2fa-vpn (RouterOS 6.46.4 o posterior, incluida la versión 7.x); el firewall bloquea la sesión hasta que llega la aprobación desde el teléfono. Sin servidor RADIUS.; Cisco DuoRADIUS genérico: el Duo Authentication Proxy es el servidor RADIUS del router y envía una notificación push automática tras el inicio de sesión principal. No hemos encontrado ninguna guía del fabricante para MikroTik.
Acceso al router (WinBox, WebFig, SSH): NotakeyEl auth-proxy en la ruta RADIUS, con timeout=30s en la entrada /radius y use-radius en /user aaa. Documentado paso a paso.; Cisco DuoEl mismo mecanismo RADIUS a través del proxy de Duo; Duo recomienda un tiempo de espera de 60 segundos en el cliente.
Qué necesita ejecutar: NotakeyUna instancia de Notakey en la nube, o la máquina virtual del appliance on-premise. La vía por scripts no necesita nada más. Para el acceso al router por RADIUS, el proxy viene integrado en el appliance; con una instancia en la nube se ejecuta como contenedor, o con el instalador MSI en Windows, en un equipo de su red.; Cisco DuoUn equipo con Windows Server 2016 o posterior o con Linux para el Authentication Proxy, normalmente con Active Directory o un servidor RADIUS detrás para comprobar la contraseña, además de la cuenta en la nube de Duo.
Precio (de tarifa, por usuario y mes): NotakeyNube: primeros 6 usuarios gratis, después 2,50 €. On-premise: primeros 10 usuarios gratis, después 0,80 €.; Cisco DuoGratis hasta 10 usuarios; después, de $3 a $9 según la edición, en bloques de 10 licencias por debajo de 100 usuarios.
Qué ve el usuario: NotakeyUna tarjeta de aprobación con el nombre del servicio, el nombre de usuario y la dirección IP de la que procede la solicitud, con una cuenta atrás. Una tarjeta de un inicio de sesión que el usuario no ha iniciado se deniega.; Cisco DuoUn Duo Push, o una llamada telefónica, enviado automáticamente tras el inicio de sesión principal. Verified Duo Push necesita una pantalla que muestre el código, como el aviso de Duo para el inicio de sesión en Windows; la documentación de Duo sobre RADIUS no lo menciona.
Más allá de MikroTik: NotakeyConfiguraciones documentadas para FortiGate, Palo Alto GlobalProtect, SSH en Linux, el Escritorio remoto de Windows, WordPress y aplicaciones web heredadas, además de la firma de transacciones.; Cisco DuoUn catálogo mucho mayor de integraciones con SaaS y otros fabricantes, confianza del dispositivo y SSO.

Cuándo quedarse con Duo

Ya utiliza Duo para otros sistemas y tiene en marcha el equipo del Authentication Proxy; añadir el router como un cliente RADIUS más es un paso pequeño.
Necesita las integraciones SaaS de Duo, la confianza del dispositivo o las passkeys en otras áreas de la organización.

Cuándo optar por Notakey

Tiene un único router MikroTik, ninguna infraestructura RADIUS y quiere 2FA en la VPN rápidamente.
La autenticación debe quedarse en su propio appliance, o el router está en una sede sin un servidor Windows o Linux disponible (la vía por scripts no necesita ninguno; con una instancia en la nube, el acceso al router por RADIUS sigue necesitando un equipo para el proxy).
Quiere el plano de administración (WinBox, WebFig, SSH) y la VPN detrás de la misma app y la misma aprobación, ambos documentados paso a paso.

Lo que Notakey no hace

Las configuraciones documentadas de VPN para MikroTik (por script o por RADIUS) cubren las VPN basadas en PPP: L2TP/IPsec, PPTP y SSTP. Otros tipos de túnel, como WireGuard, no están cubiertos.
El analizador JSON del script no admite paréntesis ni algunos otros signos de puntuación en el mensaje de aprobación; redáctelo con texto sencillo.
Sin confianza del dispositivo, sin passkeys, sin catálogo SaaS.

Preguntas frecuentes

¿Admite Duo oficialmente MikroTik?: No hemos encontrado ninguna integración con MikroTik en la documentación de Duo. Se aplica la integración RADIUS genérica a través del Duo Authentication Proxy, como a cualquier cliente RADIUS, con las mismas consideraciones sobre el tiempo de espera.
¿Qué tipos de VPN de MikroTik cubre el script de Notakey?: Las VPN basadas en PPP: L2TP/IPsec, PPTP y SSTP, en RouterOS 6.46.4 o posterior, incluida la versión 7.x.
¿Cuál es el error más habitual en MikroTik?: Dejar el tiempo de espera RADIUS en su valor por defecto de 300 milisegundos. Configure timeout=30s (Notakey) o al menos 60 segundos (Duo) en la entrada /radius, o todos los inicios de sesión fallarán antes de que vibre el teléfono.

Fuentes

Los nombres de producto son marcas comerciales de sus respectivos titulares y se utilizan únicamente para identificar los productos comparados.

← Todas las comparativas

Una alternativa a Duo para MikroTik: 2FA sin servidor RADIUS

Su primer inicio de sesión sin contraseña, esta misma semana