Notakey vs Microsoft Entra MFA pour le VPN, RADIUS et les connexions sur site

Où se prend la décision

NotakeySur votre appliance, sur site ou hébergée par Notakey. La notification push transite par les services d’Apple et de Google, et le téléphone a besoin d’un accès Internet pour la recevoir ; l’approbation elle-même est vérifiée par votre serveur.

Authentification multifacteur Microsoft EntraDans le cloud Microsoft. L’extension NPS installée sur votre serveur NPS appelle Entra sur TCP 443 : le serveur NPS a donc besoin d’un accès Internet vers Microsoft.

Licences (catalogue, par utilisateur et par mois)

NotakeyCloud : 6 premiers utilisateurs gratuits, puis 2,50 €. Sur site : 10 premiers utilisateurs gratuits, puis 0,80 €.

Authentification multifacteur Microsoft EntraEntra ID Free (inclus avec Microsoft 365 et Azure) prend en charge le MFA pour les connexions cloud. L’extension NPS pour RADIUS exige Entra ID P1 (7 $) ou P2 (10 $), facturés à l’année, ou Enterprise Mobility + Security ; les licences à la consommation, par utilisateur ou par authentification, ne sont pas compatibles avec elle.

VPN et pare-feu via RADIUS

NotakeyL’auth-proxy intégré à l’appliance se place devant n’importe quel serveur RADIUS, y compris Microsoft NPS sans extension, ou devant le plugin RADIUS de l’appliance.

Authentification multifacteur Microsoft EntraL’extension NPS sur un serveur NPS Windows joint au domaine ; les utilisateurs doivent être synchronisés avec Entra via Entra Connect ; le serveur NPS ne peut pas relayer vers un autre serveur RADIUS. Microsoft recommande un délai d’expiration VPN d’au moins 60 secondes.

Contre le push-bombing via RADIUS

NotakeyLa carte d’approbation indique le service, le nom d’utilisateur et, si elle est fournie, l’adresse IP d’origine ; l’utilisateur refuse une connexion qu’il n’a pas lancée.

Authentification multifacteur Microsoft EntraLa correspondance de numéros n’est pas prise en charge via NPS. Lorsqu’elle est imposée à tout le tenant, les utilisateurs RADIUS se voient demander à la place un code TOTP d’Authenticator ; sans méthode TOTP enregistrée, ils n’ont qu’un simple Approuver/Refuser.

Source des utilisateurs

NotakeyActive Directory sur site ou LDAP en direct, une source RADIUS ou des utilisateurs créés dans le tableau de bord Notakey. Aucune synchronisation avec un tenant cloud n’est nécessaire.

Authentification multifacteur Microsoft EntraEntra ID. Les utilisateurs d’AD sur site doivent être synchronisés avec Entra ; par défaut, l’extension les identifie par leur UPN.

Connexion Windows

NotakeyWindows Credential Provider pour les connexions locales et Bureau à distance avec Active Directory sur site, éventuellement en mode exclusivement sans mot de passe.

Authentification multifacteur Microsoft EntraWindows Hello for Business pour les appareils joints à Entra ou en jonction hybride ; Remote Desktop Gateway peut utiliser l’extension NPS.

Signature de transactions

NotakeyOui : une description lisible du paiement, de la commande ou de la modification est signée sur le téléphone, avec le lien dynamique PSD2.

Authentification multifacteur Microsoft EntraCe n’est pas une fonction ; Authenticator approuve des connexions.

Facteurs résistants au phishing et politiques

NotakeyPas de passkeys ni de clés FIDO2 ; pas d’équivalent de Conditional Access ni de contrôle de conformité des appareils.

Authentification multifacteur Microsoft EntraPasskeys dans Microsoft Authenticator, clés de sécurité FIDO2 et authentification par certificat ; Conditional Access avec P1 et politiques fondées sur le risque avec P2.

SSH sous Linux, MikroTik, applications web anciennes

NotakeyIntégrations documentées : pam_radius pour SSH et sudo, scripts RouterOS et RADIUS pour MikroTik, reverse proxy SAML pour les applications web anciennes.

Authentification multifacteur Microsoft EntraTout ce qui parle RADIUS peut passer par l’extension NPS, avec les limites ci-dessus.

Questions fréquentes

Notakey peut-il utiliser notre serveur Microsoft NPS existant ?

Oui, sans aucune extension. L’auth-proxy Notakey se place devant NPS, le laisse vérifier le mot de passe auprès d’Active Directory, puis sollicite le téléphone de l’utilisateur. NPS conserve ses politiques.

Entra MFA fonctionne-t-il pour un VPN sans licence P1 ?

Pas via l’extension NPS : Microsoft indique qu’elle exige Entra ID P1, P2 ou Enterprise Mobility + Security. Entra ID Free couvre le MFA des connexions cloud, pas les équipements RADIUS.

Pourquoi l’extension NPS demande-t-elle un code au lieu de la correspondance de numéros ?

NPS ne prend pas en charge la correspondance de numéros. Lorsqu’elle est imposée à tous les utilisateurs, l’extension demande à la place un code TOTP de Microsoft Authenticator ; les utilisateurs sans méthode TOTP enregistrée ont toujours un simple Approuver/Refuser. Notakey n’utilise pas non plus la correspondance de numéros ; sa carte d’approbation affiche le contexte de la connexion.