VPN (L2TP+IPSEC) necesito denegar el acceso a internet, solo acceso lan

[erode]

Estimados amigos de la comunidad:

Les cuento que logre montar una VPN con l2tp + ipsec con autenticacion por radius y funciona perfecto.

Mi problema surge, en que necesito que los clientes que se conecten por VPN no tengan salida a internet, ya que solo quiero que accedan a la lan y no utilicen mi conexion para navegar.

les cuento que tengo activas las siguientes interfaces:

IPLAN (WAN)
LAN (con el segmento 10.0.0.0)
L2TP (arranca en el rango de 10.0.0.128/26 y la ip del 'servidor vpn' es 10.0.0.100)

Bien, siguiendo la logica, cree reglas en la interfaz "l2tp" diciendo que todo lo que vaya a IPLAN NET (WAN) le haga REJECT. Pero sin exito, cree un alias donde esta todo el rango 10.0.0.128-10.0.0.190 y en la interfaz IPLAN (WAN) puse que todo lo que sea el source  10.0.0.128-10.0.0.190  le haga REJECT, la replique en la LAN por las dudas… pero no hubo caso.

Les adjunto las capturas de pantalla, tambien probe cambiando el nat outbound generando varias reglas pero no puedo lograr que se deniege la navegacion.

Me falta solo esto para poner productiva mi VPN, agradeceria cualqueir tipo de informacion al respecto, y si los puedo ayudar con alguna consulta acerca de mi setup de VPN con gusto lo haré.

Saludos a la comunidad.