Подскажите. Возможно сделать для разных групп пользователей разные профили? Или точнее, можно ли так организовать, чтоб одним пользователям через VPN канал открывались только одни порты, другим пользователям другие?

возможно.
radius + dacl, например

У меня авторизация через радиус сервер.
А в пример не ткнете? Найти не могу.

вот для ISE https://www.petenetlive.com/KB/Article/0001155

Либо вот так для ACS5.8 для пользователя со статическим адресом, указанном в AD

Спасибо.