pindschik

1) В AD создаете группу безопасности, долустим Localadmins
2) В GPO, в подразделении - там где находятся нужные компьютеры (например компы сунуты в папку "рабочие станции") создаете политику и в ней добавляете в локальную группу администраторов - группу Localadmins и администраторов домена. Желательно поставить галку - удалять других членов группы, чтоб не было возможности обходить отсутствие прав.
3) В политике находите пункт "запретить доступ компьютеру из сети" - и добавляете туда Localadmins. Это предотвратит заражение примитивным сетевым червем всего офиса через админскую учетку пользователей.
4) Обновляете GPO на клиентской машине (ну или перезагружаете)
5) Добавляете нужных пользователей в группу Localadmins, они получают админские права на свои компы, при этом не являясь администраторами домена и других подразделений. Лазать по сетевым шарам на других рабочих станциях подразделения они не смогут, но и зато запустить туда трояна удаленно, пользуясь админскими правами - тоже.

В общем несложно, нужно пробросить локальную и внешнюю подсети по одной сетевушке через разные Vlan'ы. После чего их можно разделить на уровне виртуалок по отдельным виртальным адаптерам:
1) Поднимаете роль Hyper-V
2) Ставите ОС в виртуалку, она и будет маршрутизатором
3) Берете управляемый свич, в один порт подключаете внешний интернет канал и настраиваете на этом порту нетэгированыый порт Vlan, например Vlan 2. Еще один порт - делате с двумя тэгированнымы VLan'ами допустим Vlan 1 и Vlan 2. Остальные порты загоняете в нетэгированный Vlan 1.

*Повторимся, что в итоге что получаем:
- в вашем свиче есть пара Vlan: Vlan 1 - для локалки (много портов) и Vlan 2 - выход в интернет (1 порт).
- еще один порт - объединяющий Vlan 1 и Vlan 2 с тэгированным трафиком (пихаем в сервер).

4) В сервере создаете виртуальный коммутатор, вешаете его на вашу сетевуху, разрешаете доступ хосту на Vlan 1 (последнее необязательно)
5) В виртуалке создаете пару виртальных адаптеров, на один заводите Vlan 1, на второй Vlan 2.
Готово у вас сервак с парой сетевух. Пусть и виртальный. Поднимайте NAT по мануалу.

Условия чтоб получилось: сетевуха сервера, физически поддерживающая Vlan (иногда в драйвере есть, а по факту нет) и управляемый свич.

Если ни того ни другого нет, то схема иная: просто в свич втыкаете и всю локалку, и провайдера тоже. Настраиваете 2 сетевухи в вуртуалке, никаких Vlan.

Работать скорее всего будет, но ваша локалка будет попадать в сеть провайдера. Иногда это вообще неважно - провайдер всё зафильтрует. Иногда важно - от провапйдера попрут широковещательные пакеты соседей и DHCP.

Адресная строка Проводника Windows

Встроенные средства захвата видео есть в NVidia (geforce experience) и Intel (но не всегда работают). Захват и пережатие там идет аппаратно, процессор загружается по минимуму.

З.Ы. Полный стелс реализован в решениях типа StaffCop (не реклама), причем триггером начала записи там может быть не только вход пользователя, но и любое событие (например - посещение определенного сайта или запуск программы). Пишется оно в буфер, который при наличии связи с сервером управления - сливается на него.

Возможно вы пытаетесь решить проблему не с той стороны. Правильнее сделать перемещаемые профили пользователей, а бекапить уже их серверную копию - там они точно будут лежать все вместе.

Соответственно если комп пользователя, случайно, например выпадет из окна 11-го этажа - то пользователь просто сядет на любой другой, введет пароль и получит свои обои с котиками и файлы на рабочем столе.
А если из окна выпадет сервер - то поднимете копию из бэкапа.