[zero55]

насколько необходимо пользователям шастать по "сетевому окружению"?

на мой взгляд правильнее будет им вообще отключить возможность просматривать сеть и сетевые папки раздавать только средствами DFS.

Правильнее будет все же один сервер и на нем два DFS-Domain-Root-а которые скрыты от пользователей средствами ABE (Access Base Enumeration) т.е. участники одной группы видят только то что им положено а другой группы только то что разрешено им.

PS Ваша задача без поднятия сервера в новой рабочей группе или домена с другим именем невыполнима.