[HLT]

На какой порт пользователи в итоге попадают? стандартный RDP?
Вы хотите, чтобы одни и те же пользователи могли ходить на RDP из локальной сети, но не могли снаружи?

Поставьте Citrix и снаружи пробрасывайте только цитрикс-трафик, а не RDP.
Соответственно, сделайте отдельную группу и научите цитрикс принимать только членов этой группы.
А из внутренней сети - как обычно, RDP для всех

[988essence]

На какой порт пользователи в итоге попадают? стандартный RDP? Вы хотите, чтобы одни и те же пользователи могли ходить на RDP из локальной сети, но не могли снаружи? »

Да - на стандартный RDP порт. Нужно чтобы некоторые пользователи могли входить и внутри и из вне, а другие только внутри.

Решение должно быть бесплатным, не дорогим или выполняться штатными уже имеющимися средствами.