Palyginimas · Cisco Duo
Duo alternatyva MikroTik įrangai: 2FA be RADIUS serverio
MikroTik administratoriams, kurie ieškojo Duo, bet rado tik bendrąjį RADIUS puslapį. Čia aprašyta, ko kiekvienas variantas reikalauja RouterOS aplinkoje ir kada bendrasis kelias vis dar yra teisingas.
Trumpai
Duo dokumentacijoje MikroTik integracijos neradome. RouterOS vis tiek gali siųsti prisijungimus Duo Authentication Proxy per RADIUS, nes tarpinis serveris veikia kaip RADIUS serveris, tačiau tam reikia Windows Server arba Linux kompiuterio tarpiniam serveriui, paprastai su Active Directory ar RADIUS serveriu už jo slaptažodžiui tikrinti, o MikroTik 300 milisekundžių RADIUS skirtąjį laiką tenka padidinti iki minutės.
Notakey turi du aprašytus MikroTik kelius. PPP pagrindu veikiantiems VPN (L2TP/IPsec, PPTP, SSTP) RouterOS skriptas paprašo Notakey serverio patvirtinimo, o ugniasienė sulaiko sesiją, kol naudotojas paliečia „Patvirtinti“: nei RADIUS serverio, nei tarpinio serverio kompiuterio. WinBox, WebFig ir SSH prisijungimams Notakey auth-proxy įsiterpia RADIUS kelyje, kaip ir Duo tarpinis serveris. Debesyje pirmi 6 naudotojai nemokami, įrenginyje jūsų infrastruktūroje – pirmi 10.
Tiekėjų duomenys patikrinti 2026 m. spalio 13 d. Kainos yra tą dieną tiekėjų paskelbtos kainoraščio kainos ir gali keistis be įspėjimo.
Aspektas
Notakey
Cisco Duo
- VPN 2FA RouterOS aplinkoje
- NotakeyRouterOS skriptai iš notakey/mikrotik-2fa-vpn saugyklos (RouterOS 6.46.4 ar naujesnė, įskaitant 7.x); ugniasienė blokuoja sesiją, kol gaunamas patvirtinimas telefone. RADIUS serverio nereikia.
- Cisco DuoBendrasis RADIUS: Duo Authentication Proxy yra maršrutizatoriaus RADIUS serveris ir po pirminio prisijungimo automatiškai išsiunčia push pranešimą. Gamintojo vadovo MikroTik įrangai neradome.
- Prisijungimas prie maršrutizatoriaus (WinBox, WebFig, SSH)
- NotakeyAuth-proxy RADIUS kelyje, /radius įraše nustačius timeout=30s ir skiltyje /user aaa įjungus use-radius. Aprašyta žingsnis po žingsnio.
- Cisco DuoTas pats RADIUS mechanizmas per Duo tarpinį serverį; Duo rekomenduoja 60 sekundžių kliento skirtąjį laiką.
- Ką reikia paleisti
- NotakeyNotakey debesijos egzempliorių arba įrenginio virtualią mašiną savo infrastruktūroje. Skriptų keliui daugiau nieko nereikia. Prisijungimams prie maršrutizatoriaus per RADIUS tarpinis serveris yra įrenginyje; su debesijos egzemplioriumi jis veikia jūsų tinklo kompiuteryje – kaip konteineris arba Windows sistemoje įdiegtas iš MSI paketo.
- Cisco DuoWindows Server 2016+ arba Linux kompiuteris, skirtas Authentication Proxy, paprastai su Active Directory ar RADIUS serveriu už jo slaptažodžiui tikrinti, ir Duo debesijos paskyra.
- Kainos (kainoraščio, už naudotoją per mėnesį)
- NotakeyDebesyje: pirmi 6 naudotojai nemokamai, toliau €2.50. Savo infrastruktūroje: pirmi 10 naudotojų nemokamai, toliau €0.80.
- Cisco DuoNemokamai iki 10 naudotojų; toliau nuo $3 iki $9 priklausomai nuo versijos; kai naudotojų mažiau nei 100, licencijos perkamos po 10.
- Ką mato naudotojas
- NotakeyPatvirtinimo kortelę su serviso pavadinimu, naudotojo vardu, IP adresu, iš kurio atėjo užklausa, ir atgaliniu laikmačiu. Kortelė apie prisijungimą, kurio naudotojas neinicijavo, atmetama.
- Cisco DuoDuo Push arba telefono skambutį, automatiškai išsiunčiamą po pirminio prisijungimo. Verified Duo Push reikia ekrano, kuriame rodomas kodas, pavyzdžiui, Duo Windows Logon prisijungimo lango; Duo RADIUS dokumentacijoje jis neminimas.
- Ne tik MikroTik
- NotakeyAprašytos FortiGate, Palo Alto GlobalProtect, Linux SSH, Windows Remote Desktop, WordPress ir senesnių žiniatinklio programų sąrankos, taip pat operacijų pasirašymas.
- Cisco DuoGerokai platesnis SaaS ir gamintojų integracijų katalogas, galinių įrenginių patikimumo vertinimas ir SSO.
Kada likti su Duo
- Duo jau naudojate kitoms sistemoms ir Authentication Proxy kompiuteris jau veikia; pridėti maršrutizatorių kaip dar vieną RADIUS klientą nesudėtinga.
- Kitur organizacijoje jums reikia Duo SaaS integracijų, galinių įrenginių patikimumo vertinimo ar prieigos raktų (passkeys).
Kada rinktis Notakey
- Turite vieną MikroTik maršrutizatorių, neturite RADIUS infrastruktūros ir VPN 2FA norite įdiegti greitai.
- Autentifikacija turi likti jūsų pačių įrenginyje arba maršrutizatorius stovi vietoje, kur nėra laisvo Windows ar Linux serverio (skriptų keliui jo nereikia; prisijungimams prie maršrutizatoriaus per RADIUS su debesijos egzemplioriumi tarpiniam serveriui kompiuteris vis tiek reikalingas).
- Norite, kad administravimo prieiga (WinBox, WebFig, SSH) ir VPN būtų apsaugoti ta pačia programėle ir tuo pačiu patvirtinimu, o abu keliai būtų aprašyti žingsnis po žingsnio.
Ko Notakey nedaro
- Aprašytos MikroTik VPN sąrankos (skriptu ar per RADIUS) apima PPP pagrindu veikiančius VPN: L2TP/IPsec, PPTP ir SSTP. Kiti tunelių tipai, pavyzdžiui, WireGuard, neapimami.
- Skripto JSON analizatorius nesusidoroja su skliaustais ir kai kuriais kitais skyrybos ženklais patvirtinimo pranešime; rašykite jį paprastai.
- Nėra galinių įrenginių patikimumo vertinimo, prieigos raktų (passkeys) ir SaaS katalogo.
Dažniausiai užduodami klausimai
- Ar Duo oficialiai palaiko MikroTik?
- Duo dokumentacijoje MikroTik integracijos neradome. Taikoma bendroji RADIUS integracija per Duo Authentication Proxy, kaip ir bet kuriam RADIUS klientui, su tais pačiais skirtojo laiko apribojimais.
- Kokius MikroTik VPN tipus apima Notakey skriptas?
- PPP pagrindu veikiančius VPN: L2TP/IPsec, PPTP ir SSTP, RouterOS 6.46.4 ar naujesnėje versijoje, įskaitant 7.x.
- Kokia dažniausia klaida MikroTik aplinkoje?
- Palikti numatytąjį 300 milisekundžių RADIUS skirtąjį laiką. /radius įraše nustatykite timeout=30s (Notakey) arba bent 60 sekundžių (Duo), kitaip kiekvienas prisijungimas nepavyks dar telefonui nesuvibravus.
Šaltiniai
- Duo Authentication Proxy: RADIUS
- Duo versijos ir kainos
- Duo Authentication for Windows Logon and RDP
- notakey/mikrotik-2fa-vpn GitHub platformoje
Produktų pavadinimai yra jų savininkų prekių ženklai ir naudojami tik palyginamiems produktams įvardyti.