某公司总部只允许接入总部的 VPN 分支（172.16.1.0/24） 的其中一部分 IP 地址（172.16.1.100-172.16.1.200）访问总部内网服务器（192.168.10.20）的 WEB 服务，但禁止这一部分 IP 访问同一个总部内网服务器的 SQL SERVER 服务（192.168.10.20）。

设置步骤如下：

1、 新建 IP 组，如下图所示：

2、新建 WEB 服务过滤规则，配置页面如下：

『规则名称』自定义规则名称。

『规则描述』对规则进行描述。

『规则方向』设置为 VPN->LAN。

『规则动作』设置为对此类数据允许。

『服务对象』设置为 HTTP。

『源 IP 组』设置为分支内网的部分 IP 地址 172.16.1.100-172.16.1.200，即分支-ip。

『目的 IP 组』设置为总部内网的服务器 IP192.168.10.20，即 server-ip。

『时间组』设置规则生效的时间。 勾选『启用规则』选项，确定完成。

3、设置 SQL SERVER 服务过滤规则，页面如下：

『规则名称』自定义为 SQL。

『规则描述』对规则进行描述。

『规则方向』设置为 VPN->LAN。

『规则动作』设置对此类数据拒绝。

『服务对象』设置为 SQL。

『源 IP 组』设置为分支内网的部分 IP 地址 172.16.1.100-172.16.1.200，即分支-ip。

『目的 IP 组』设置为总部内网的服务器 IP192.168.10.20，即 server-ip。

『时间组』设置规则全天生效。

勾选『启用规则』选项，确认完成。

完成上述设置后，即可实现对 VPN 数据的有效过滤。

注意：其他如限制总部访问分支服务、限制分支通过总部上网的数据等需求都可以通过在相应接口之间设置过滤规则实现。