Duo prend-il officiellement en charge MikroTik ?

Nous n’avons trouvé aucune intégration MikroTik dans la documentation de Duo. L’intégration RADIUS générique via le Duo Authentication Proxy s’applique, comme pour tout client RADIUS, avec les mêmes précautions sur les délais d’expiration.

Quels types de VPN MikroTik le script Notakey couvre-t-il ?

Les VPN fondés sur PPP : L2TP/IPsec, PPTP et SSTP, sous RouterOS 6.46.4 ou plus récent, 7.x compris.

Quelle est l’erreur la plus fréquente sur MikroTik ?

Laisser le délai d’expiration RADIUS à sa valeur par défaut de 300 millisecondes. Réglez timeout=30s (Notakey) ou au moins 60 secondes (Duo) sur l’entrée /radius, sinon chaque connexion échoue avant même que le téléphone ne vibre.

Une alternative à Duo pour MikroTik : la 2FA sans serveur RADIUS

En bref

Nous n’avons trouvé aucune intégration MikroTik dans la documentation de Duo. RouterOS peut tout de même envoyer les connexions au Duo Authentication Proxy via RADIUS, puisque le proxy fait office de serveur RADIUS, mais cela suppose un hôte Windows Server ou Linux pour le proxy, normalement avec Active Directory ou un serveur RADIUS derrière lui pour vérifier le mot de passe, et impose de porter le délai d’expiration RADIUS de MikroTik de 300 millisecondes à une minute.

Notakey propose deux voies documentées pour MikroTik. Pour les VPN fondés sur PPP (L2TP/IPsec, PPTP, SSTP), un script RouterOS demande l’approbation au serveur Notakey et le pare-feu bloque la session jusqu’à ce que l’utilisateur touche Approve : ni serveur RADIUS, ni hôte proxy. Pour les connexions WinBox, WebFig et SSH, l’auth-proxy Notakey s’insère sur le chemin RADIUS, comme le ferait celui de Duo. L’offre cloud est gratuite pour les 6 premiers utilisateurs, l’appliance sur site pour les 10 premiers.

Informations éditeurs vérifiées le 13 octobre 2026. Les prix sont les prix catalogue publiés par les éditeurs à cette date et peuvent changer sans préavis.

Critère

Notakey

Cisco Duo

2FA VPN sous RouterOS: NotakeyScripts RouterOS du dépôt notakey/mikrotik-2fa-vpn (RouterOS 6.46.4 ou plus récent, 7.x compris) ; le pare-feu bloque la session jusqu’à l’arrivée de l’approbation sur le téléphone. Aucun serveur RADIUS.; Cisco DuoRADIUS générique : le Duo Authentication Proxy est le serveur RADIUS du routeur et envoie automatiquement une notification push après la connexion principale. Nous n’avons trouvé aucun guide de l’éditeur pour MikroTik.
Connexion au routeur (WinBox, WebFig, SSH): NotakeyL’auth-proxy sur le chemin RADIUS, avec timeout=30s sur l’entrée /radius et use-radius sous /user aaa. Documenté pas à pas.; Cisco DuoMême mécanisme RADIUS via le proxy Duo ; Duo recommande un délai d’expiration de 60 secondes côté client.
Ce que vous devez exploiter: NotakeyUne instance cloud Notakey, ou la VM de l’appliance sur site. La voie par script ne demande rien d’autre. Pour les connexions au routeur via RADIUS, le proxy est intégré à l’appliance ; avec une instance cloud, il tourne en conteneur, ou via l’installateur MSI sous Windows, sur un hôte de votre réseau.; Cisco DuoUn hôte Windows Server 2016+ ou Linux pour l’Authentication Proxy, généralement avec Active Directory ou un serveur RADIUS derrière lui pour vérifier le mot de passe, plus le compte cloud Duo.
Prix (catalogue, par utilisateur et par mois): NotakeyCloud : 6 premiers utilisateurs gratuits, puis 2,50 €. Sur site : 10 premiers utilisateurs gratuits, puis 0,80 €.; Cisco DuoGratuit jusqu’à 10 utilisateurs ; ensuite de 3 $ à 9 $ selon l’édition, par tranches de 10 licences en dessous de 100 utilisateurs.
Ce que voit l’utilisateur: NotakeyUne carte d’approbation indiquant le nom du service, le nom d’utilisateur et l’adresse IP d’où vient la demande, avec un compte à rebours. Une carte pour une connexion qu’il n’a pas lancée est refusée.; Cisco DuoUn Duo Push, ou un appel téléphonique, envoyé automatiquement après la connexion principale. Verified Duo Push nécessite un écran qui affiche le code, comme l’invite Windows Logon de Duo ; la documentation RADIUS de Duo ne le mentionne pas.
Au-delà de MikroTik: NotakeyConfigurations documentées pour FortiGate, Palo Alto GlobalProtect, SSH sous Linux, le Bureau à distance Windows, WordPress et les applications web anciennes, plus la signature de transactions.; Cisco DuoUn catalogue bien plus vaste d’intégrations SaaS et d’éditeurs, la confiance des appareils et le SSO.

Restez sur Duo si

Vous utilisez déjà Duo pour d’autres systèmes et l’hôte de l’Authentication Proxy est en place : ajouter le routeur comme client RADIUS supplémentaire ne demande pas grand-chose.
Vous avez besoin, ailleurs dans l’organisation, des intégrations SaaS, de la confiance des appareils ou des passkeys de Duo.

Optez pour Notakey si

Vous avez un seul routeur MikroTik, aucune infrastructure RADIUS, et voulez une 2FA VPN rapidement.
L’authentification doit rester sur votre propre appliance, ou le routeur se trouve sur un site sans serveur Windows ou Linux disponible (la voie par script n’en demande aucun ; avec une instance cloud, les connexions au routeur via RADIUS nécessitent toujours un hôte pour le proxy).
Vous voulez placer le plan d’administration (WinBox, WebFig, SSH) et le VPN derrière la même application et la même approbation, les deux étant documentés pas à pas.

Ce que Notakey ne fait pas

Les configurations VPN MikroTik documentées (par script ou via RADIUS) couvrent les VPN fondés sur PPP : L2TP/IPsec, PPTP et SSTP. Les autres types de tunnels, comme WireGuard, ne sont pas couverts.
L’analyseur JSON du script ne gère pas les parenthèses ni certains autres signes de ponctuation dans le message d’approbation ; rédigez-le en texte simple.
Pas de confiance des appareils, pas de passkeys, pas de catalogue SaaS.

Questions fréquentes

Duo prend-il officiellement en charge MikroTik ?: Nous n’avons trouvé aucune intégration MikroTik dans la documentation de Duo. L’intégration RADIUS générique via le Duo Authentication Proxy s’applique, comme pour tout client RADIUS, avec les mêmes précautions sur les délais d’expiration.
Quels types de VPN MikroTik le script Notakey couvre-t-il ?: Les VPN fondés sur PPP : L2TP/IPsec, PPTP et SSTP, sous RouterOS 6.46.4 ou plus récent, 7.x compris.
Quelle est l’erreur la plus fréquente sur MikroTik ?: Laisser le délai d’expiration RADIUS à sa valeur par défaut de 300 millisecondes. Réglez timeout=30s (Notakey) ou au moins 60 secondes (Duo) sur l’entrée /radius, sinon chaque connexion échoue avant même que le téléphone ne vibre.

Sources

Les noms de produits sont des marques de leurs propriétaires respectifs et ne servent qu’à identifier les produits comparés.

← Tous les comparatifs

Une alternative à Duo pour MikroTik : la 2FA sans serveur RADIUS

Votre première connexion sans mot de passe, dès cette semaine