Como mencionó, definitivamente debe configurar una VPN de "túnel dividido", en la que el tráfico solo atraviesa la VPN cuando lo necesita: el otro tráfico pasa por Internet. Esa es probablemente la solución más simple a su problema. Sin embargo, la advertencia es que estas computadoras infectadas aún pueden usarse como un punto de salto para acceder a los recursos en su VPN; para que pueda tener un problema de seguridad y no estar al tanto de esa solución.
Hay muchas otras formas más complejas de abordar el problema. Por supuesto, no solo es importante asesorar, sino también exigir que los usuarios de VPN tengan un antivirus activo actualizado. Muchos concentradores de VPN (Cisco, Juniper, etc.) tienen características en sus clientes de VPN que permiten probar el cumplimiento de un perfil de host, por ejemplo. ver si las actualizaciones están instaladas, el antivirus es actual, etc.
Al subir un orden de magnitud, un sistema IPS (Sistema de prevención de intrusiones) es la solución ideal para este problema; si el presupuesto lo permite, ya que estos sistemas son prohibitivamente costosos y, a menudo, requieren recursos importantes para la configuración. Un IPS debidamente configurado revocará de inmediato el acceso a la VPN si se detecta una actividad anómala seria: es casi seguro que un ataque DDOS lo active.
En este caso, aún puede usar una VPN de "túnel completo" con todo el tráfico de Internet usando la VPN como la puerta de enlace predeterminada, si lo prefiere. Si bien la velocidad puede sufrir en una conexión VPN de túnel completo, será más segura ya que todo el tráfico tendrá que atravesar el sistema IPS.