Господа, есть такой вопрос... хотелось бы чтоб удаленные пользователи подключившись к корпорат.сети имели разные права доступа к ресурсам сети на уровне access-list.
Можно ли так сделать???? (Тоесть при логине одной группой доступ к одним хостам а при коннекте под другим именем к другим.)

я пробовал так, но не работает... при подключении по группе vpnclient пред.полный доступ, по группе vpnclient1 туннель устанавливается но пинга нет ни одного узла.

aaa authentication login userauthen local
aaa authorization network groupauthor local
!
username USER password 0 USER
!
!
crypto isakmp client configuration group vpnclient
key katya
dns 10.10.221.9
domain sales
pool ippool
acl 101
!
crypto isakmp client configuration group vpnclient1
key masha
dns 10.10.221.9
domain sales
pool ippool1
acl 120
!
!
crypto ipsec transform-set myset esp-3des esp-md5-hmac
!
crypto dynamic-map dynmap 10
set transform-set myset
reverse-route
!
!
crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap client configuration address respond
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
ip local pool ippool 10.10.221.25 10.10.221.26
ip local pool ippool1 10.10.221.27 10.10.221.28
!
access-list 101 permit ip any any  (разрешины все хосты)
!
(хотелось бы разрешить только хосты 10.10.221.20 и 11) но не работает
access-list 120 permit ip host 10.10.221.20 host 10.10.221.27
access-list 120 permit ip host 10.10.221.20 host 10.10.221.28
access-list 120 permit ip host 10.10.221.11 host 10.10.221.27
access-list 120 permit ip host 10.10.221.11 host 10.10.221.28
access-list 120 deny ip any any