Илья Севостьянов

А вы политиками там firewall трогали?

Не трогали… Брандмауэр Windows отключен, на сервере стоит сторонний межсетевой экран SSEP (сертифицированное ФСТЭК средство защиты ПД… то еще «унылое»… фактически русифицированный Outpost с переписанным гуем, с закосом под интерфейс Касперского; но в данном случае точно не он, его уже вдоль и поперек пролезли, да и к тому-же все нормально если не активировать ту самую политику.)

что в system логах?

А дам девственно чисто… оповещения, даже предупреждений нет, не то чтобы ошибок.

было бы замечательно увидеть результирующую политику.

а вот собственно и политика, это не rsop, но сгодится я думаю, это сводка из Group Policy Manager,.

Сделайте rsop с включенной дефолтной доменной политикой

Это будет чревато… попробую в нерабочее время. Если я отключу наследование, то Вы в rcop ничего не увидите, если нет, то завтра по утру опять бубен в руки и бегом :)

Да, 2008-й сервер получше будет, однако, что дано — то дано :) увы победить эту проблему методом «отрезания больной конечности» не имеется возможности.
Насколько я успел разобраться проблема-то в какой-то конкретной галочке (ох как я за это виндовсы не люблю) настройке политики. Так как в домене они (политики) таки используются для отдельных групп пользователей… Их сравнение выдало уж больно много различий, методом тыка я как-то не привык работать, но видимо придется.
Подскажите хотя бы куда копать, или на что точно не обращать внимания — т.е. что можно исключить?

скрипт, в групповую политику, всех терминальщиков в отдельную группу, на нее скрипт
set %TEMP%="new temp directory path" (само собой это CMD/BAT)