Authentifizierungsverfahren | 2FA console GUI

[MaDe]

Hallo zusammen,

ich würde gerne 2FA + GUI mit der OPNsense realisieren. Das ganze funktioniert soweit auch ganz gut.
Aber ich würde das ganze gerne so lösen:
Den Root User würde ich gerne deaktivieren und einen eigenen User anlegen. Außerdem einen Consolen User Account, falls ich mit dem 2FA Probleme bekommen dann sollte ich immer Zugriff auf die Console bekommen.

consolen user -> nur console
ssh user -> nur Key
gui user -> nur 2FA

Aber irgendwie habe ich nicht den Überblick wie ich das implementieren kann. Wenn ich zum Beispiel dem consolen user alle GUI Berechtigungen entziehe, kann ich auch nicht mehr die OPNsense Shell aufrufen. Gebe ich dem consolen user die Rechte geht der Zugriff auf die OPNsense Shell aber dann auch auf die GUI.
Und wie ist es bei SSH wenn ich 2FA aktiviere? Muss ich dann auch den Token mit übergeben?
Wie habt ihr den Zugriff umgesetzt? Für ein paar Tips wäre ich sehr froh.

Danke, MaDe