请问连锁集团应如何限制vpn连接？

haituan

现状是  1、广州总公司有一个固定的ip；
2、所有分公司和门店通过vpn连接到总公司访问服务器，服务器不对外网开放
3、分公司和门店都是通过ADSL拨号上网的
4、任意网段间可以互访
5、所有路由器均为思科1841

遇到的问题：

1、经常有北京分公司的门店因为操作员不熟练将连接数据库的ip地址填写到广州这边的门店，造成广州这边门店数据混乱。

求教：

1、如何限制网段间互访 ？

2、门店要限制只可以访问广州的服务器

3、北京分公司网段可以访问北京的门店

4、广州总公司可以访问属下所有的分公司和门店

小弟刚接触思科的路由器，很多方面不是十分了解望各位解答。

补充门店路由器的部分配置如下：

interface Tunnel22

ip address 10.1.1.1 255.255.255.0

no ip redirects

ip mtu 1400

ip nhrp authentication dmvpn

ip nhrp map 10.1.1.1  1.1.1.1

ip nhrp map multicast 1.1.1.1

ip nhrp network-id 20

ip nhrp holdtime 300

ip nhrp nhs 10.1.1.1

ip ospf network point-to-point

tunnel source Dialer0

tunnel mode gre multipoint

tunnel key 100000

tunnel protection ipsec profile dmvpnprof

!

interface FastEthernet0/0

no ip address

duplex auto

speed auto

pppoe enable group global

pppoe-client dial-pool-number 1

!

interface FastEthernet0/1

ip address 192.168.2.1 255.255.255.0

ip nat inside

ip virtual-reassembly

duplex auto

speed auto

!

interface Dialer0

ip address negotiated

ip nat outside

ip virtual-reassembly

encapsulation ppp

ip tcp adjust-mss 1426

dialer pool 1

dialer-group 1

ppp authentication chap pap callin

ppp chap hostname admin@admin

ppp chap password 0 admin

ppp pap sent-username admin@admin password 0 admin

!

router ospf 10

log-adjacency-changes

network 10.1.1.0 0.0.0.255 area 0

network 192.168.2.0 0.0.0.255 area 0

!

ip forward-protocol nd

ip route 0.0.0.0 0.0.0.0 Dialer0

ip route 1.2.1.0 255.255.255.0 10.1.1.1

ip route 192.168.200.0 255.255.255.0 10.1.1.1

no ip http secure-server

!

!

ip nat inside source list NAT interface Dialer0 overload

!

ip access-list extended NAT

deny   ip 192.168.2.0 0.0.0.255 192.168.0.0 0.0.0.255

permit ip 192.168.2.0 0.0.0.255 any

!

dialer-list 1 protocol ip permit

hzjdhjm

这种太麻烦了。

高级佛爷

麻烦的