Предположим, что пользователь подключившийся по vpn получил адрес 10.1.6.15, другие пользователи так же получают адреса из 10.1.6.0\24.
Попробуйте сделать правило в цепочке
forward, action=drop, src-address=10.1.6.0/24, dst-address=10.1.6.0/24
Чуть выше него поставить правило
forward, action=accept, src-address=10.1.6.0/24, dst-address=10.1.6.1
(где 10.1.6.1 это адрес шлюза для пользователей).
Таким образом мы будет резать весь трафик из шестой подсети в шестую подсеть, кроме трафика из шестой к шлюзу.
Если нужно ограничить еще дополнительно все остальные кроме второй, тогда
chain=forward, action=drop, src-address=10.1.6.0/24, dst-address=!10.1.2.0/24
Честно, я не пробовал так делать, но в теории должно сработать. Может знатоки packet flow diagram меня поправят
