LDAP認証を用いた企業のリモートアクセスVPNを無事に設定しました。現在、ファイアウォールのポリシーには、すべてのActive Directory（AD）ユーザーが内部リソースにアクセスできるアクセスロールが含まれています。
しかし、一部のユーザーに対して特定のリソースへのアクセスを制限したいと考えています。そのために、2人のユーザーだけを含む新しいアクセスロールを作成し、このロールに対して選択したリソースへのアクセスを制限するようにファイアウォールのポリシーを設定しました。この新しいポリシーは、すべてのADユーザーに適用される既存のポリシーの上に配置しています。
問題は、制限されたアクセスロールのユーザーが接続してリソースにアクセスしようとすると、そのトラフィックが制限されたファイアウォールのポリシーをバイパスし、下のオープンポリシーに一致してしまうことです。制限されたポリシーにはヒットしません。
この現象の原因について何か考えられることはありますか？