Valentin Barbolin

> хотелось бы сделать так, что бы нельзя было подключаться по RDP к коллегам из локальной сети.
Геморно конечно.

Вижу три варианта
1) По проще, можно создать две группы ТopRDP, UserRDP. Первой группе разрешить везде заходить, второй только на определенные ПК.

2) В ограниченных учетках пользователей определить список ресурсов куда может логиниться пользователь.

3) Мой любимый, написать костыль. При логоне выполнять скрипт который будет добавлять пользователя в группу удаленного рабочего стола, соответственно пользователь сможет подключиться только к тому ПК где заходил локально.

> SSD Kingston DC500M
Зачем вам это узкое горлышко? Не делайте raid из SSD, делайте бэкапы каждый день.
Лучше поставить
один SSD PCI-Express 1TB GIGABYTE под данные
и один Samsung 970 PRO 512GB M.2 PCIe 3.0 под резервный запуск
и пару HDD 4TB в RAID1 под бэкапы и саму систему виртуализации.

RAM 32GB - мало
SQL съест минимум 10GB
на каждого пользователя в терминале до 2GB

Лучше использовать виртуализацию, будет медленнее на 5-10%, но намного гибче.

https://support.anydesk.com/Wake-on-LAN

Ключевая подсказка

Requirements
At least one more AnyDesk device in the local network must be online.

То есть в сети есть еще устройства с anydesk и они включены и именно они отправляют пакет WakeOnLan.

Вариантов не много:
1. Разные порты
2. Разные IP
3. RDP GW

Что тут сложного? Достаточно 2х правил в iptables. Минус конечно есть - не будет видно IP клиента, на терминальном сервере все будут сидеть с IP VPS сервера (WAN_IP).

RDP_IP='192.43.76.78'
WAN_IP='54.23.45.43'
WAN_INTERFACE=ens33
SRC_PORT_FORWARD=3389
DST_PORT_FORWARD=3389
echo 1 > /proc/sys/net/ipv4/ip_forward
sudo iptables -t nat -A PREROUTING -i $WAN_INTERFACE -p tcp  --dport $SRC_PORT_FORWARD -j DNAT --to-destination $RDP_IP
sudo iptables -t nat -A POSTROUTING -d $RDP_IP -p tcp  --dport $DST_PORT_FORWARD -j SNAT --to-source $WAN_IP

То есть, вот так вы пробовали делать?

https://www.how2shout.com/how-to/how-to-create-bri...