很多公司出于工作需要，都会提供远程办公拨入的VPN，供员工在外地可以连接到企业内网处理工作。但是这也带来一些安全方面的隐患；所以很多情况下，我们需要对外网拨入后的访问权限进行控制。

　　在本例中，我将结合WSG上网行为管理网关的openvpn来介绍如何限制外网拨入后的访问权限。

　　如下图，openvpn的通讯网段是10.8.0.x，这意味着客户机拨入VPN后会获取到10.8.0.x的IP地址，然后我们就可以通过防火墙规则对10.8.0.x这个网段进行访问控制。

　　拨入的客户端默认处于“外网区域”，要访问内网区域，需要通过外网区域的“转发”。而外网的转发是默认禁止的wifi 连接vpn。所以，我们通过添加下面的防火墙规则，允许10.8.0.x访问内网的IP段192.168.1.x。如图：

　　有些情况下，我们还需要对指定的VPN用户进行单独的访问权限管控。要达到这个目的，我们需要先指定vpn用户的IP地址。如图：