[HLT]

На какой порт пользователи в итоге попадают? стандартный RDP?
Вы хотите, чтобы одни и те же пользователи могли ходить на RDP из локальной сети, но не могли снаружи?

Поставьте Citrix и снаружи пробрасывайте только цитрикс-трафик, а не RDP.
Соответственно, сделайте отдельную группу и научите цитрикс принимать только членов этой группы.
А из внутренней сети - как обычно, RDP для всех