Verschiedene VLANS mit OpenVPN - Trennung der Netze - PFSense

Guten Abend zusammen,

ich stehe gerade vor einem kleinen Problem, wo sich so gerade ein leichter Knoten im Kopf bildet ;)

Folgendes Szenario: Ich habe verschiedene VM`s in einer VSphere Umgebung auf die von unterschiedlichen Kunden aus per RDP/http/HTTPS zugegriffen werden muss. Ich möchte jedoch die Möglichkeiten der Zugriffe am liebsten durch VLANS trennen und nicht 100 Firewall Regeln anlegen.
Beispiel:

KundeA --> VM1 (172.16.1.1/24) VLAN1
KundeB --> VM2 (172.16.2.1/24) VLAN2
KundeC --> VM3 (172.16.3.1/24) VLAN3
Usw.

Als Router dient eine virtuelle PFSense, diese hängt mit dem WAN IF mit einer öffentlichen IP im Netz und auf dem LAN IF habe ich für jede VM ein VLAN Device angelegt. Wie folgt:

VLAN1(172.16.1.254/24)
VLAN2(172.16.2.254/24)
VLAN3(172.16.3.254/24)

In VMware wurden die entsprechenden NICs der VM’s entsprechend den VLAN’s zugewiesen und als Gateway die Adressen des entsprechenden VLAN Interfaces eingetragen. So weit so gut, alle meine VM’s kommen aus ihrem VLAN ins Internet. Über Die Firewall Regeln der einzelnen VLAN kann ich so gut steuern aus welchem Netz/VLAN was nach draußen kommt.

Nun zum eigentlich Problem, ich möchte wie oben eben erwähnt, Kunde A nur Zugriff auf VM1 geben. Wie würdet ihr das Problem angehen? Meine Gedanken sind folgende:

Version1: Einen OpenVPN Server(tun) mit entsprechenden Push Routen für die unterschiedlichen Clients und festen IP’s der Clients mit zusätzlicher Absicherung durch Firewall Regeln.

Version2: Für jeden Kunden eine OpenVPN Server Instanz, diese dann mit dem ovpn Device gegen das entsprechende VLAN brücken.

Hat jemand noch eine bessere Idee?

Danke für Eure Hilfen im Voraus