Le VPN d'entreprise doit exiger l'authentification forte inWebo via RADIUS. Complétez ~/vpn/radius.conf (configuration de la passerelle VPN) :
serveur = radius-mfa.acme.test, port = 1812secret : ne l'écrivez pas en clair — référencez le fichier protégé : secret_fichier = /etc/vpn/radius.secrettimeout = 60 (l'utilisateur doit avoir le temps d'approuver la notification sur son mobile) et tentatives = 1 (éviter les doubles notifications)- serveur de secours :
serveur_secours = radius-mfa2.acme.test
Testez : radtest jdupont "$MOT_DE_PASSE" radius-mfa.acme.test 1812 "$(cat /etc/vpn/radius.secret)" → réponse → answer radius <Access-Accept|Access-Reject>. Pourquoi tentatives = 1 ? → answer tentatives <notifications|securite|licence>