Összehasonlítás · Cisco Duo
Duo-alternatíva MikroTikhez: 2FA RADIUS-szerver nélkül
Azoknak a MikroTik-adminisztrátoroknak, akik a Duóra kerestek rá, de csak egy általános RADIUS-oldalt találtak. Ez az oldal megmutatja, mit kívánnak az egyes megoldások a RouterOS-en, és mikor marad mégis az általános út a helyes választás.
Röviden
A Duo dokumentációjában nem találtunk MikroTik-integrációt. A RouterOS ettől még RADIUS-on továbbíthatja a bejelentkezéseket a Duo Authentication Proxynak, mert a proxy RADIUS-szerverként működik, ehhez azonban Windows Server- vagy Linux-gép kell a proxynak, mögötte rendszerint Active Directoryval vagy RADIUS-szerverrel a jelszóellenőrzéshez, a MikroTik 300 ezredmásodperces RADIUS-időkorlátját pedig egy percre kell emelni.
A Notakeyhez két dokumentált MikroTik-megoldás tartozik. PPP-alapú VPN-eknél (L2TP/IPsec, PPTP, SSTP) egy RouterOS-szkript kéri a jóváhagyást a Notakey-szervertől, a tűzfal pedig addig visszatartja a munkamenetet, amíg a felhasználó meg nem érinti a Jóváhagyás gombot: nincs RADIUS-szerver, nincs proxygép. A WinBox-, WebFig- és SSH-bejelentkezéseknél a Notakey auth-proxy a RADIUS-útvonalban áll, ahogyan a Duóé is állna. A felhőalapú csomag az első 6 felhasználónak ingyenes, a saját infrastruktúrában futó készülék az első 10-nek.
A szállítói adatok ellenőrzésének dátuma: 2026. október 13. Az árak a szállítók által az adott napon közzétett listaárak, és előzetes értesítés nélkül változhatnak.
Szempont
Notakey
Cisco Duo
- VPN 2FA RouterOS-en
- NotakeyRouterOS-szkriptek a notakey/mikrotik-2fa-vpn tárolóból (RouterOS 6.46.4 vagy újabb, beleértve a 7.x ágat is); a tűzfal addig blokkolja a munkamenetet, amíg meg nem érkezik a telefonos jóváhagyás. RADIUS-szerver nincs.
- Cisco DuoÁltalános RADIUS: a Duo Authentication Proxy a router RADIUS-szervere, és az elsődleges bejelentkezés után automatikusan push értesítést küld. MikroTikhez nem találtunk gyártói útmutatót.
- Router-bejelentkezés (WinBox, WebFig, SSH)
- NotakeyAz auth-proxy a RADIUS-útvonalban, a /radius bejegyzésen timeout=30s, a /user aaa alatt use-radius beállítással. Lépésről lépésre dokumentálva.
- Cisco DuoUgyanez a RADIUS-mechanizmus a Duo proxyján keresztül; a Duo 60 másodperces kliensoldali időkorlátot javasol.
- Mit kell üzemeltetnie
- NotakeyEgy Notakey-felhőpéldányt, vagy saját infrastruktúrában a készülék virtuális gépét. A szkriptes megoldáshoz ennél több nem kell. A RADIUS-alapú router-bejelentkezéshez a proxy a készülékbe van építve; felhőpéldány esetén konténerként vagy Windowson MSI-telepítővel fut egy gépen az Ön hálózatában.
- Cisco DuoEgy Windows Server 2016+ vagy Linux-gépet az Authentication Proxynak, rendszerint mögötte Active Directoryval vagy RADIUS-szerverrel a jelszóellenőrzéshez, továbbá a Duo felhőfiókot.
- Árak (listaár, felhasználónként és havonta)
- NotakeyFelhő: az első 6 felhasználó ingyenes, utána 2,50 €. Saját infrastruktúra: az első 10 felhasználó ingyenes, utána 0,80 €.
- Cisco Duo10 felhasználóig ingyenes; utána kiadástól függően $3–$9, 100 felhasználó alatt 10 licences egységekben.
- Mit lát a felhasználó
- NotakeyEgy jóváhagyási kártyát a szolgáltatás nevével, a felhasználónévvel, a kérés forrásának IP-címével és visszaszámlálással. A nem általa indított bejelentkezés kártyáját elutasítja.
- Cisco DuoAz elsődleges bejelentkezés után automatikusan küldött Duo Pusht vagy telefonhívást. A Verified Duo Pushhoz olyan képernyő kell, amely megjeleníti a kódot, például a Duo Windows-bejelentkezési ablaka; a Duo RADIUS-dokumentációja nem említi.
- A MikroTiken túl
- NotakeyDokumentált beállítások FortiGate-hez, Palo Alto GlobalProtecthez, Linux SSH-hoz, Windows távoli asztalhoz, WordPresshez és régebbi webalkalmazásokhoz, továbbá tranzakció-aláírás.
- Cisco DuoJóval nagyobb SaaS- és gyártói integrációs katalógus, eszközmegbízhatóság és SSO.
Mikor érdemes a Duónál maradni
- Más rendszerekhez már Duót használ, és az Authentication Proxy gépe is megvan; a routert egy újabb RADIUS-kliensként felvenni csak kis lépés.
- A szervezet más részein szüksége van a Duo SaaS-integrációira, eszközmegbízhatósági funkcióira vagy passkeyeire.
Mikor érdemes a Notakeyt választania
- Egyetlen MikroTik routere van, RADIUS-infrastruktúrája nincs, és gyorsan szeretne VPN 2FA-t.
- A hitelesítésnek a saját készülékén kell maradnia, vagy a router olyan telephelyen áll, ahol nincs nélkülözhető Windows- vagy Linux-szerver (a szkriptes megoldáshoz egy sem kell; a RADIUS-alapú router-bejelentkezéshez felhőpéldány esetén továbbra is kell egy gép a proxynak).
- Azt szeretné, hogy az adminisztrációs felület (WinBox, WebFig, SSH) és a VPN ugyanazzal az alkalmazással és jóváhagyással legyen védve, mindkettő lépésről lépésre dokumentálva.
Amit a Notakey nem tud
- A dokumentált MikroTik VPN-beállítások (szkriptes vagy RADIUS-alapú) a PPP-alapú VPN-eket fedik le: L2TP/IPsec, PPTP és SSTP. Más alagúttípusokat, például a WireGuardot, nem.
- A szkript JSON-feldolgozója nem boldogul a zárójelekkel és néhány más írásjellel a jóváhagyási üzenetben; az üzenet szövege legyen egyszerű.
- Nincs eszközmegbízhatóság, nincsenek passkeyek, nincs SaaS-katalógus.
Gyakran ismételt kérdések
- Hivatalosan támogatja a Duo a MikroTiket?
- A Duo dokumentációjában nem találtunk MikroTik-integrációt. A Duo Authentication Proxyn keresztüli általános RADIUS-integráció alkalmazható, mint bármely RADIUS-kliensnél, ugyanazokkal az időkorlát-szempontokkal.
- Mely MikroTik VPN-típusokat fedi le a Notakey szkriptje?
- A PPP-alapú VPN-eket: L2TP/IPsec, PPTP és SSTP, RouterOS 6.46.4 vagy újabb verzión, beleértve a 7.x ágat is.
- Mi a leggyakoribb hiba MikroTiken?
- Ha a RADIUS-időkorlát az alapértelmezett 300 ezredmásodpercen marad. Állítsa a /radius bejegyzésen timeout=30s értékre (Notakey), illetve legalább 60 másodpercre (Duo), különben minden bejelentkezés meghiúsul, mielőtt a telefon megrezzenne.
Források
- Duo Authentication Proxy: RADIUS
- Duo-kiadások és -árak
- Duo Authentication for Windows Logon and RDP
- A notakey/mikrotik-2fa-vpn tároló a GitHubon
A terméknevek tulajdonosaik védjegyei, és itt kizárólag az összehasonlított termékek azonosítására szolgálnak.