[Angry Demon]

fulkon, либо на шлюзе пускать только с определённых IP-адресов (с которых нужные пользователи ломятся), закрыв остальные файрволлом, либо на портмаппинге изменить входящий порт на какой-либо другой, отличный от стандартного, и сообщить его только нужным пользователям, либо на сервере создать нового слушателя RDP-TCP с портом, отличным от стандартного, а на шлюзе вообще отменить проброс стандартного 3389, а пробросить порт нового слушателя. В свойствах слушателя разрешить коннектится нужным пользователям.

О! Совсем забыл: Организовать VPN-подключение к своей сети, разрешив его только нужным пользователям. ИМХО - самый кошерный вариант.