客户端连接sslvpn客户端成功后，如何只允许它访问vpn隧道资源，不允许客户端上互联网，可以实现吗？

可以的

1.1.39  ip-tunnel access-route

ip-tunnel access-route命令用来配置下发给客户端的路由表项。

undo ip-tunnel access-route命令用来恢复缺省情况。

【命令】

ip-tunnel access-route { ip-address { mask-length | mask } | force-all | ip-route-list list-name }

undo ip-tunnel access-route

【缺省情况】

未指定下发给客户端的路由表项。

【视图】

SSL VPN策略组视图

【缺省用户角色】

network-admin

context-admin

【参数】

ip-address { mask-length | mask }：将指定路由下发给客户端。ip-address为路由的目的地址，不能是组播、广播、环回地址；mask-length为路由的掩码长度，取值范围为0～32；mask为路由的掩码。

force-all：强制将客户端的流量转发给SSL VPN网关。

ip-route-list list-name：将指定路由列表中的路由表项下发给客户端。list-name表示路由列表名称，为1～31个字符的字符串，不区分大小写，支持输入中文字符。本参数指定的路由列表必须先通过ip-route-list命令创建。