Porównanie · Cisco Duo

Alternatywa dla Duo w MikroTiku: 2FA bez serwera RADIUS

Dla administratorów MikroTik, którzy szukali Duo i znaleźli tylko ogólną stronę o RADIUS. Oto, czego każda z opcji wymaga w RouterOS i kiedy ogólna ścieżka nadal jest właściwa.

Zamów demoWypróbuj demobank

W skrócie

W dokumentacji Duo nie znaleźliśmy integracji z MikroTik. RouterOS może mimo to przesyłać logowania do Duo Authentication Proxy przez RADIUS, ponieważ proxy pełni rolę serwera RADIUS, ale oznacza to host z Windows Server lub Linuksem dla proxy, zwykle z Active Directory lub serwerem RADIUS za nim do sprawdzania haseł, oraz podniesienie 300-milisekundowego limitu czasu RADIUS w MikroTiku do minuty.

Notakey ma dwie opisane ścieżki dla MikroTik. W przypadku VPN opartych na PPP (L2TP/IPsec, PPTP, SSTP) skrypt RouterOS prosi serwer Notakey o zatwierdzenie, a firewall wstrzymuje sesję, dopóki użytkownik nie dotknie Approve: bez serwera RADIUS i bez hosta dla proxy. W przypadku logowań WinBox, WebFig i SSH Notakey auth-proxy stoi na ścieżce RADIUS, tak jak stałoby proxy Duo. Plan chmurowy jest bezpłatny dla pierwszych 6 użytkowników, appliance on-premise dla pierwszych 10.

Dane producentów sprawdzono 13 października 2026. Ceny to katalogowe ceny opublikowane przez producentów w tym dniu i mogą zmienić się bez uprzedzenia.

2FA dla VPN w RouterOS
NotakeySkrypty RouterOS z repozytorium notakey/mikrotik-2fa-vpn (RouterOS 6.46.4 lub nowszy, także 7.x); firewall blokuje sesję, dopóki nie nadejdzie zatwierdzenie z telefonu. Bez serwera RADIUS.
Cisco DuoOgólny RADIUS: Duo Authentication Proxy jest serwerem RADIUS routera i po logowaniu podstawowym automatycznie wysyła powiadomienie push. Nie znaleźliśmy przewodnika producenta dla MikroTik.
Logowanie do routera (WinBox, WebFig, SSH)
NotakeyAuth-proxy na ścieżce RADIUS, z timeout=30s we wpisie /radius i use-radius w /user aaa. Opisane krok po kroku.
Cisco DuoTen sam mechanizm RADIUS przez proxy Duo; Duo zaleca limit czasu klienta 60 sekund.
Co trzeba uruchomić
NotakeyInstancję Notakey w chmurze albo maszynę wirtualną appliance on-premise. Ścieżka skryptowa nie wymaga niczego więcej. Przy logowaniach do routera przez RADIUS proxy jest wbudowany w appliance; przy instancji w chmurze działa jako kontener albo (z instalatora MSI) w systemie Windows, na hoście w Państwa sieci.
Cisco DuoHost z Windows Server 2016+ lub Linuksem dla Authentication Proxy, zwykle z Active Directory lub serwerem RADIUS za nim do sprawdzania haseł, a do tego konto w chmurze Duo.
Ceny (katalogowe, za użytkownika miesięcznie)
NotakeyChmura: pierwszych 6 użytkowników bezpłatnie, potem 2,50 €. On-premise: pierwszych 10 użytkowników bezpłatnie, potem 0,80 €.
Cisco DuoBezpłatnie do 10 użytkowników; potem od $3 do $9 zależnie od edycji, poniżej 100 użytkowników w pakietach po 10 licencji.
Co widzi użytkownik
NotakeyKartę zatwierdzenia z nazwą usługi, nazwą użytkownika i adresem IP, z którego przyszło żądanie, oraz odliczaniem czasu. Kartę dotyczącą logowania, którego nie zainicjował, odrzuca.
Cisco DuoDuo Push lub połączenie telefoniczne, wysyłane automatycznie po logowaniu podstawowym. Verified Duo Push wymaga ekranu, który wyświetla kod, takiego jak okno logowania Duo w Windows; dokumentacja Duo dotycząca RADIUS o nim nie wspomina.
Poza MikroTikiem
NotakeyOpisane konfiguracje dla FortiGate, Palo Alto GlobalProtect, SSH w Linuksie, pulpitu zdalnego Windows, WordPressa i starszych aplikacji webowych, a do tego podpisywanie transakcji.
Cisco DuoZnacznie obszerniejszy katalog integracji z SaaS i produktami innych producentów, zaufanie do urządzeń i SSO.

Kiedy pozostać przy Duo

  • Korzystają już Państwo z Duo w innych systemach i mają działający host Authentication Proxy; dodanie routera jako kolejnego klienta RADIUS to niewielki krok.
  • W innych częściach organizacji potrzebne są integracje SaaS Duo, zaufanie do urządzeń lub klucze dostępu (passkeys).

Kiedy postawić na Notakey

  • Mają Państwo jeden router MikroTik i nie mają infrastruktury RADIUS, a chcą szybko wdrożyć 2FA dla VPN.
  • Uwierzytelnianie ma pozostać na własnym appliance albo router stoi w lokalizacji, w której nie ma wolnego serwera Windows ani Linux (ścieżka skryptowa go nie potrzebuje; logowania do routera przez RADIUS przy instancji w chmurze nadal wymagają hosta dla proxy).
  • Panel administracyjny (WinBox, WebFig, SSH) i VPN mają być chronione tą samą aplikacją i tym samym zatwierdzeniem, a oba warianty są opisane krok po kroku.

Czego Notakey nie robi

  • Opisane konfiguracje VPN dla MikroTik (skryptowa i RADIUS) obejmują VPN oparte na PPP: L2TP/IPsec, PPTP i SSTP. Inne typy tuneli, takie jak WireGuard, nie są objęte.
  • Parser JSON w skrypcie nie radzi sobie z nawiasami i niektórymi innymi znakami interpunkcyjnymi w treści prośby o zatwierdzenie; tekst powinien być prosty.
  • Brak zaufania do urządzeń, kluczy dostępu (passkeys) i katalogu SaaS.

Najczęściej zadawane pytania

Czy Duo oficjalnie obsługuje MikroTik?
W dokumentacji Duo nie znaleźliśmy integracji z MikroTik. Ma zastosowanie ogólna integracja RADIUS przez Duo Authentication Proxy, jak w przypadku każdego klienta RADIUS, z tymi samymi zastrzeżeniami co do limitu czasu.
Które typy VPN w MikroTiku obejmuje skrypt Notakey?
VPN oparte na PPP: L2TP/IPsec, PPTP i SSTP, w RouterOS 6.46.4 lub nowszym, także w wersji 7.x.
Jaki błąd zdarza się w MikroTiku najczęściej?
Pozostawienie domyślnego limitu czasu RADIUS wynoszącego 300 milisekund. We wpisie /radius należy ustawić timeout=30s (Notakey) lub co najmniej 60 sekund (Duo), inaczej każde logowanie zakończy się niepowodzeniem, zanim telefon zawibruje.

Źródła

Nazwy produktów są znakami towarowymi ich właścicieli i służą wyłącznie do identyfikacji porównywanych produktów.

← Wszystkie porównania

Pierwsze logowanie bez hasła jeszcze w tym tygodniu

30 minut rozmowy z inżynierem, a nie prezentacja handlowa. Wspólnie zaplanujemy, jak uruchomić działający projekt pilotażowy w Państwa środowisku VPN, SSO lub Windows.

Zamów demoWypróbuj demobank