Alexey Dmitriev

Чтобы это работало - надо на сервере установить компонент Desktop Experience (Возможности рабочего стола).
Возможно еще можно полностью отключить сглаживание шрифтов для пользователя в на сервере, куда он подключается.
Тогда по идее при подключении этим же пользователем через RemoteApp настройки системы подтянутся.

Вариантов два.
1. В настройках RDP на сервере найти настройку "Start the following program when the user....":
и добавить туда
Path c:\windows\system32\logoff.exe
Start in: c:\windows\system32
Это повлияет на всех пользователей сервера.

2. В настройках каждого аккаунта, которому нужно запретить вход через RDP - в свойствах аккаунта есть сценарий входа - можно сделать тоже что и в пункте 1.

Соответственно - если хотите это автоматизировать через группу - можно это сделать политиками или периодически запускаемым скриптом.

Погуглите по запросу "подключение к сеансу RDP"

1. Выставлять наружу порт 3389 - плохая и очень плохая идея.
Я не говорю про взлом - но комп со временем просто заДДОСят боты, патяющиеся его взломать.
2. На кинетик есть несколько реализаций VPN - подбирайте ту, что:
а) пройдет сквозь защиту на вашей работе.
б) у вас получится настроить соединение на рабочей машине.

Все на ваш страх и риск конечно - вы идете на явное нарушение неких внутренних регламентов-официальных или нет, и к чему это может привести - не ясно.

Есть еще Chrome Remote Desktop https://remotedesktop.google.com/

Администраторский RDP в Windows Server работает по умолчанию - без установки дополнительных ролей. Если только в Essentials есть различия.

Если не пускает больше двух - то сервер в режиме удаленного управления (вход для двух администраторов), а не в режиме сервера терминалов.

Прямой ответ на вопрос - никак. Вы по RDP подключаетесь не к той сессии, которая "расположена" на экране монитора, а к отдельной.
Если это Windows 10 - используйте Remote Desktop Shadowing, иначе используйте сторонние механизмы для подключения к консольной сессии - VNC, teamviewer etc.

Сервер в Европе - промежуточный VPN сервер, к которому будет идти VPN из офиса (openvpn\wiregurd c каждого моноблока или общий VPN на выходе из офиса), от которого будет идти VPN к конечному серверу. Никакого NAT, только маршруты и в подключении RDP будет адрес сервера из серой подсети.
И да - будут подлагивания.

Windows Firewall позволяет оперировать доступом для пользователей или групп AD.
Как вариант - использовать вторую сетевую карту\второй ip и Firewall Windows разрешить вход на порт для одной группы.

Обычно помогают две волшебных фразы - включить изоляцию драйверов принтеров и включить easy print (по умолчанию-если все принтеры работают через него, и как опцию-если не все).