Возможно, в ACL на внешнем интерфейсе порт не открыт.
show run | include 16000 - возвращает сколько строк? Если больше одной - ищите в конфиге этот ACL и добавляйте в него 3389 также по аналогии с 16000.
Через групповую политику User Configuration/Administrative Templates/Windows Components/Remote Desktop Services/Remote Desktop Session Host/Device and Resource Redirection/Do not allow clipboard redirection, примененную к этим пользователям.
