Linux, Firewall, shorewall

Hallo Leute,
möchte mein netz mit hilfe von shorewall (http://shorewall.net/) absichern und einigen traffic steuen.

hier mein netzt

dsl über fritzbox mit Port Weiterleitung auf meinen vpn-server
(22, 62195, 62196)

switch mit allen clients und dem vpn-server
die admin openvpn verbindung (port 62195) soll alles dürfen und überall hin
eine 2. openvpn verbindung (port 62196) die dürfen nur http auf dem vpn-server (port 80)

von aussen sollen noch ssh möglich sein.

wie konfiguriere ich jetzt mein smothwall?
hier meine konfig:

interfaces

#ZONE   INTERFACE   BROADCAST   OPTIONS
 loc0     eth0       detect          nets=(192.168.3.0/24),dhcp,routefilter,t    cpflags,logmartians,nosmurfs
 loc1     eth1       detect          nets=(192.168.4.0/24),routefilter,tcpfla    gs,logmartians,nosmurfs
 vpn0     tap0       detect          nets=(192.168.200.0/24),dhcp,routefilter    ,tcpflags,logmartians,nosmurfs

zones

 fw      firewall
 loc0        ipv4
 loc1        ipv4
 vpn0    ipv4
 vpn1    ipv4

tunnels

#TYPE           ZONE    GATEWAY     GATEWAY
#                       ZONE
openvpnserver:62195     $FW     
openvpnserver:62196     $FW    

rules

ACCEPT      loc0    $FW     tcp     22

policy

#SOURCE     DEST        POLICY      LOG LEVEL   LIMIT:BURST
$FW     loc0        ACCEPT
$FW     loc1        ACCEPT
$FW     vpn0        ACCEPT
$FW     vpn1        ACCEPT
loc0        $FW         ACCEPT
loc1        $FW         ACCEPT
vpn0    $FW         ACCEPT  
vpn0    loc0            ACCEPT
loc0    vpn0        ACCEPT