Запретить доступ к 2 серверам их интернета без впн

Есть 2 сервера - публичный и api, который является сервером OpenVPN

Нужно сделать так чтобы к публичному серверу можно было подключиться без впн только на порты 80 и 443, а с подключенным впн на все те же + 22

Для api сервера без впн сделать доступным наружу только порт самого OpenVPN, а с подключенным впн доступны должны быть все порты какие открыты на машине

В итоге от вас нужно получить bash скрипты с настройкой этих машин