Crear una zona específica para las VPNs y añadir las VPNs que se creen dentro de esa zona. De esta forma los permisos los daremos por zonas y si tenemos que deshabilitar temporalmente una VPN bastará con sacarla de la zona en vez de tener que eliminarla.

Para las VPNs añadir siempre una ruta del tipo blackhole con distancia 254 . De esta forma si no hay conexión con esa VPN el firewall directamente descartará los paquetes en vez de consumir recursos buscando alternativas

Si tenemos nuestro firewall detrás de un router tenemos que redireccionar los puertos 500/UDP(IPSEC) y 4500/UDP (NAT-Transversal) del router externo a nuestro firewall para que funciones la vpn ipsec