Erweitertes IPsec (oder OpenVPN) Client VPN setup auf pfSense, Anregungen benötigt

Hi,
Ich will / muß mittelfristig von Sonicwall Client VPN (SMA 400 und Netextender) weg und plane es mit den vorhandenen pfSensen zu ersetzen.
folgende Anforderungen habe ich (Must have):

- Authentifizierung an AD, mehrere Subdomains (noch)
- mehrere Gruppen müssen eingerichtet werden können:
z.B. Frankreich Office user authentifiziert sich an FR.AD in der Gruppe VPN-FR-OFFICE
UK Developer authentifiziert sich an UK.AD in der Gruppe VPN-UK-DEVELOP
- jede Gruppe bekommt ihre eigenen erlaubten Zielnetze und Firewallregeln
- Jeder User darf nicht nochmal extra auf der pfSense angelegt werden.

Ob IPsec oder OpenVPN ist erstmal egal, ich bevorzuge IPsec, aber OpenVPN hat natürlich auch seinen Charme: einmal z.B. auf Port 1194/UDP und einmal auf 443/TCP laufen lassen.

Wer hat Ideen und Hinweise wie es umgestzt werden kann ?

Gruß
CH