fpir

Запрет исполняемых файлов из директории пользователя
Следующий вопрос будет как права на папки разовать?

За кэширование паролей отвечает политика "Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)", значение, несмотря на описание, это количество последних пользователей домена, которые входили на эту машину. Т.к. на конкретную машину входят, обычно, 1-2 пользователя и админ(в другом случае, несколько админов), то значение 3-5 гарантированно добавит в кэш доменных админов(если они вообще когда-либо заходили на данную машину). Т.е., чтоб подключится к конторскому компу у пользователя дома - задайте политику(по умолчанию, вроде, 5), скажем, 10, зайдите под своей учёткой и отдайте комп.
Или я чего-то не понял?

WDS (Windows Deployment Services). Быстрое разверт...

Может это?

Чёт я не пойму, если с компа активность, то чтоб тупо источник выяснить, монитора ресурсов достаточно.

Если соединить роутер бухгалтерии с любым из ваших свичей то можно: как прописать маршрут на компе в приёмной в бухгалтерию и обратно, так и прописать маршруты в подсети на сетевом оборудовании - роутере и сервере(который шлюз). Вы можете это сделать и через интернет, причём пакет, при человеческой маршрутизации у провайдера, не должен уйти дальше первого L3 свича. Но да, для уверенности нужен VPN.
Более того, без всякого L3 оборудования, можно масками настроить так, чтоб одна подсеть входила в другую, при этом доступ из большей в меньшую будет, а наоборот нет. Например 3 компа, №1 имеет доступ к №2 и 3, а номер № 2 - только к №1:
№1 192.168.0.1/23
№2 192.168.0.2/24
№3 192.168.1.0/23
по маршрутизации
Например, втыкаете порт lan1 роутера в порт свича, который не занят. На сервере поднимаете интерфейс 192.168.0.254(интефейс, сетевая не нужна, вешаете его, на ту сетевую, что в свич смотрит) и прописываете маршрут на роутере 10.0.1.0 255.255.255.0(видимо) 192.168.0.254, на сервере маршрут в 10.0.1.0 уже есть, поэтому прописать надо только обратный 192.168.0.0 255.255.255.0 192.168.0.254.
С микротиком... не сказать, что сложней, но придётся ввести несколько новых сущностный, ибо такова парадигма микротика. С другой стороны, вы можете на наём сделать оба входа от провайдера, прописав маршрутизацией, что куда, и даже набросать скриптик, чтоб в случае падения одного, другой его резервировал, а так-же настроить маршрутизацию с чёрными и белыми списками, блекджеком и программистками.

Хотел-бы выделить один момент. Вы не сказали, для чего вам нужна система распознавания номеров. А в этой детали весь дьявол. Все существующие системы распознают 80-95% номеров.
В некоторых случаях это приемлемо, например для контроля скорости и автоматического выписывания штрафов. Ну не отправят штрафы 10% водителей, ничего страшного, их и так много, и бояться они все.
А в некоторых - абсолютно не приемлемо, если надо отслеживать конкретную машину и присылать СМС, когда она приезжает. 9 СМС на 10 проездов- это не то, чего вы ожидаете.
Ну а решений-да, хватает.

Как вариант, если не можете изминить екзешник-пришейте к нему батник. В батнике пропишите присвоение имени екселевского файла как-то связанного с именем пользователя и копированием его на расшаренный диск. Если сделать экзешник скрытым, то ошибок будет минимум. Батник так-же может удалить экзешник, только сам себя удалить не сможет.
Варианты с RDP тоже рабочии, но остаются проблемы со сбором ответов по папкам пользователей(решаются простеньким батником) и обучением пользователей работе с RDP(возможно, принципиально неразрешимые)

Ну а как запретить админу администрировать систему? Только приказом "кто снесёт программу - лишится премии".

А в свойствах службы rdp указана нужное сетевое? а то был случай, при настройке выбралось сушествующее, а потом в рабочую сетку воткнул, а там другое, долго траблу искал.

А еще, как нынче лучше коннектить юзера с обычной 7-10 home-pro к выбранному выше решению, чтобы он ощущал себя как будто на своем пк сидит?

Если из разных городов, то наверное, RD Gateway. Создаёте RDP-ярлык и посылаете пользователю файлом.

Да хз, на самом деле. Перепрыгнуть на новый попроще будет, чем слезть на старый. А про сняте с поддержки: был в сервеной некоего суда. Не конторы "рога и копыта", не районной больницы, а вполне настоящего областного суда. 4 2003х, 3 2008х r2 и 1 2012й. Это у хостера какого-нить будете разворачивать последнии релизы, а на земле всё несколько преземлённее.

Предыдущий ответ безусловно каноничен, но вы не пробовали логинится к rdp, клиент наверняка должен быть уже прошит. С лицензиями решайте на свой вкус, можно для образовательного учреждения и на халяву.

Роль не встаёт потому, что

Не удалось получить доступ к требуемым ресурсам графического процессора. Сервер не может работать в качестве узла RemoteFX без графического процессора. Убедитесь, что графический процессор установлен правильно.

в гипер-в не проброшена видеокарта. С днс тоже какие-то траблы, но это не должно мешать установить роль.

Мне кажется, отвечающие смотрят в 21 первый век и сетевые технологии, а автор вопроса - в 20 век с лимитированным трафиком и техническое решение ему надо искать там. Всё верно, прокси-подмена сертификатов, но есть место, где сертификаты подменять не надо - на компе пользователя. Trafic Inspector(с удивлением узнал, что его даже развивают). Не знаю, как сейчас, но лет 10 назад на каждую рабочую станция ставился агент, который слал статистику на сервер и там сводил всё в табличку по типу трафика, по ip и по доменам.

"Пингуется" и "шара" разные уровни OSI, вышестоящие зависят от нижестоящих, но не наоборот("шара" вышестоящий). Чтобы "видеть" рабочую группу или домен машина должна в него входить, это было сделано? Вообще-то это сделать довольно просто, увидеть линакс из под винды посложней будет.

Кст, по своему опыту могу посоветовать не заморачиваться. Если Вы действительно можете оказать помощь с виндой, то переустановка будет у вас занимать 5% заказов. 3% из которых будет подставы от ОБЭП. Проще от них отказаться совсем, предложив заказчику пойти и купить коробку.
ЗЫ. Советовал мне опер для установки винды уносить комп домой, там ставить и приносить готовый, а в случае чего кивать на знакомого, адрес и телефон которого потерялся. Типа, тогда требуется действительно работать, что-бы доказать, кто поставил винду, а такие дела заводятся не для того, чтоб работать. Но я не проверял, а просто не ставил винду.

Делать бэкап системы можно tar-ом, в этом случае можно вернуться к предыдущему состоянию, в зависимости от того, какие директории Вы будете восставать. При этом grub надо будет восстанавливать отдельно(в случае фатального разрушения носителя, например)
Вот подробней , извините, не особо вчитывался, первое по выдаче гугля, но вроде о том.

я так понял, это всё декстопные окна и они в одноранговой сети. А, тупо, сетевое обнаружение отключено, не?

Пользуюсь Acronis, потому, что удобно и могу. Ось на сервере я выбрать не мог, а на программу резервного копирования денег дали. Не жалуюсь. Полный архив можно открывать winrar, инкрементное-дифференциальное, всё как положено. Шифровальщики пока вроде не умеют, но на всякий случай доступ на запись имеет только учётка акрониса.