Confronto · Cisco Duo
Un’alternativa a Duo per MikroTik: 2FA senza server RADIUS
Per gli amministratori MikroTik che hanno cercato Duo e hanno trovato solo una pagina RADIUS generica. Ecco che cosa richiede ciascuna opzione su RouterOS, e quando la via generica resta quella giusta.
In breve
Nella documentazione di Duo non abbiamo trovato un’integrazione per MikroTik. RouterOS può comunque inviare gli accessi al Duo Authentication Proxy via RADIUS, perché il proxy funge da server RADIUS, ma questo significa un host Windows Server o Linux per il proxy, di norma con Active Directory o un server RADIUS alle spalle per la verifica della password, e portare il timeout RADIUS di MikroTik da 300 millisecondi a un minuto.
Notakey ha due percorsi MikroTik documentati. Per le VPN basate su PPP (L2TP/IPsec, PPTP, SSTP) uno script RouterOS chiede l’approvazione al server Notakey e il firewall trattiene la sessione finché l’utente non tocca Approva: nessun server RADIUS, nessun host per il proxy. Per gli accessi WinBox, WebFig e SSH, l’auth-proxy Notakey si inserisce nel percorso RADIUS come farebbe quello di Duo. Il piano cloud è gratuito per i primi 6 utenti, l’appliance on-premise per i primi 10.
Dati sui fornitori verificati il 13 ottobre 2026. I prezzi sono quelli di listino pubblicati dai fornitori a quella data e possono cambiare senza preavviso.
Aspetto
Notakey
Cisco Duo
- 2FA per la VPN su RouterOS
- NotakeyScript RouterOS dal repository notakey/mikrotik-2fa-vpn (RouterOS 6.46.4 o successivo, 7.x compreso); il firewall blocca la sessione finché non arriva l’approvazione dal telefono. Nessun server RADIUS.
- Cisco DuoRADIUS generico: il Duo Authentication Proxy è il server RADIUS del router e invia automaticamente una notifica push dopo l’accesso primario. Non abbiamo trovato una guida del fornitore per MikroTik.
- Accesso al router (WinBox, WebFig, SSH)
- NotakeyL’auth-proxy nel percorso RADIUS, con timeout=30s nella voce /radius e use-radius sotto /user aaa. Documentato passo dopo passo.
- Cisco DuoStesso meccanismo RADIUS tramite il proxy di Duo; Duo raccomanda un timeout del client di 60 secondi.
- Che cosa dovete far girare
- NotakeyUn’istanza cloud Notakey, oppure la VM dell’appliance on-premise. Il percorso con gli script non richiede altro. Per gli accessi al router via RADIUS, il proxy è integrato nell’appliance; con un’istanza cloud gira come container, oppure con l’installer MSI su Windows, su un host della vostra rete.
- Cisco DuoUn host Windows Server 2016+ o Linux per l’Authentication Proxy, di solito con Active Directory o un server RADIUS alle spalle per la verifica della password, più l’account cloud di Duo.
- Prezzi (di listino, per utente al mese)
- NotakeyCloud: primi 6 utenti gratis, poi 2,50 €. On-premise: primi 10 utenti gratis, poi 0,80 €.
- Cisco DuoGratis fino a 10 utenti; poi da $3 a $9 a seconda dell’edizione, a blocchi di 10 licenze sotto i 100 utenti.
- Che cosa vede l’utente
- NotakeyUna scheda di approvazione con il nome del servizio, il nome utente, l’indirizzo IP da cui è partita la richiesta e un conto alla rovescia. Una scheda per un accesso che l’utente non ha avviato viene rifiutata.
- Cisco DuoUna Duo Push, o una telefonata, inviata automaticamente dopo l’accesso primario. Verified Duo Push richiede una schermata che mostri il codice, come il prompt di Duo per l’accesso a Windows; la documentazione RADIUS di Duo non la menziona.
- Oltre MikroTik
- NotakeyConfigurazioni documentate per FortiGate, Palo Alto GlobalProtect, SSH su Linux, Desktop remoto di Windows, WordPress e applicazioni web legacy, più la firma delle transazioni.
- Cisco DuoUn catalogo molto più ampio di integrazioni SaaS e con prodotti di altri fornitori, verifica dei dispositivi e SSO.
Restate con Duo se
- Usate già Duo per altri sistemi e l’host dell’Authentication Proxy è in funzione: aggiungere il router come ulteriore client RADIUS è un piccolo passo.
- Vi servono altrove nell’organizzazione le integrazioni SaaS di Duo, la verifica dei dispositivi o le passkey.
Scegliete Notakey se
- Avete un solo router MikroTik, nessuna infrastruttura RADIUS e volete la 2FA per la VPN in tempi rapidi.
- L’autenticazione deve restare sulla vostra appliance, oppure il router si trova in una sede senza un server Windows o Linux disponibile (il percorso con gli script non ne richiede; con un’istanza cloud, gli accessi al router via RADIUS richiedono comunque un host per il proxy).
- Volete proteggere con la stessa app e la stessa approvazione sia l’amministrazione (WinBox, WebFig, SSH) sia la VPN, entrambe documentate passo dopo passo.
Che cosa Notakey non fa
- Le configurazioni VPN MikroTik documentate (script o RADIUS) coprono le VPN basate su PPP: L2TP/IPsec, PPTP e SSTP. Altri tipi di tunnel, come WireGuard, non sono coperti.
- Il parser JSON dello script non gestisce le parentesi e alcuni altri segni di punteggiatura nel messaggio di approvazione: mantenetelo semplice.
- Nessuna verifica dei dispositivi, nessuna passkey, nessun catalogo SaaS.
Domande frequenti
- Duo supporta ufficialmente MikroTik?
- Nella documentazione di Duo non abbiamo trovato un’integrazione per MikroTik. Vale l’integrazione RADIUS generica tramite il Duo Authentication Proxy, come per qualsiasi client RADIUS, con le stesse considerazioni sul timeout.
- Quali tipi di VPN MikroTik copre lo script Notakey?
- Le VPN basate su PPP: L2TP/IPsec, PPTP e SSTP, su RouterOS 6.46.4 o successivo, 7.x compreso.
- Qual è l’errore più comune su MikroTik?
- Lasciare il timeout RADIUS al valore predefinito di 300 millisecondi. Impostate timeout=30s (Notakey) o almeno 60 secondi (Duo) nella voce /radius, altrimenti ogni accesso fallisce prima ancora che il telefono vibri.
Fonti
- Duo Authentication Proxy: RADIUS (in inglese)
- Edizioni e prezzi di Duo (in inglese)
- Duo Authentication for Windows Logon and RDP (in inglese)
- notakey/mikrotik-2fa-vpn su GitHub
I nomi dei prodotti sono marchi dei rispettivi titolari e sono usati solo per identificare i prodotti messi a confronto.