Симптомы

Созданы два серверных правила (разные сети VPN, разные интерфейсы tunnel, разные профили безопасности), по ним обоим пользователи подключаются, но работать одновременно оба правила не хотят. Работает только то правило, что стоит вверху:

Почему всегда отрабатывает только верхнее правило?

Решение

На версиях 6.1.9 и 7.4.X для применения различных серверных правил к разным клиентам необходимо использовать параметры Зона источника и Адрес источника. Параметр Пользователи не является условием выбора серверного правила, проверка пользователя происходит уже после установления соединения VPN.

Настройка одновременной работы нескольких серверных правил VPN описана в данной статье:
https://docs.usergate.com/nastrojka-vpn_39.html

Начиная с версии 7.5.0, серверные правила VPN реализованы в виде модульной структуры, состоящей из трех отдельно настраиваемых объектов:

• правил подключения
• правил аутентификации
• политик VPN

С помощью такого подхода обеспечивается гибкость в комбинировании параметров на каждом этапе - от инициации сессии до применения индивидуальных настроек доступа в сеть для отдельных пользователей или групп пользователей. Одному методу подключения может соответствовать несколько способов аутентификации; каждому способу аутентификации может соответствовать один или несколько вариантов сетевых параметров подключения.

Более подробно описано в статье https://docs.usergate.com/obshie-principy_2283.html

Для разграничения доступа VPN по условию Пользователь или Группа, необходимо выполнить следующие действия:

1) Добавить правило подключения, в котором опционально указать Зоны источника\назначения, Адреса источника\назначения. На данном этапе также в качестве условия выбора правила является протокол VPN

2) Добавить правило аутентификации, в котором выбрать нужный профиль аутентификации, через который будут идентифицироваться пользователи (в нашем примере vpnuser и vpnuser2)

3) Добавить две политики VPN, в каждой из которых выбрать свой отдельный VPN адаптер, выделяемые подсети, и соответственно пользователя\группу

В результате при подключении по VPN к одному и тому же внешнему адресу NGFW, в зависимости от указанного при аутентификации пользователя, подключение будет осуществляться по первому или второму правилу.

В дальнейшем на два указанных в правилах VPN адаптера (tunnelX) мы можем назначить разные зоны, с последующим применением их в правилах МСЭ, Фильтрации контента и прочих.