Настройка терминального сервера.

Когда определенной группе пользователей нужно создать отдельные условия использования терминальных сессий. Например, принудительно отключить проброс принтера, или ограни-
чить цветовую гамму, или запретить проброс локальных дисков или буфера обмена и т.д.
Стандартный средств от MS нет. Выход из положения подключение пользователей через разные RDP-Tcp соединения. Но новое RDP-TCP соединение можно привязать к другой сетевой карте. Выход из положения описан здесь и здесь.

Вариант 1

Добавить новый сетевой адаптер с другим IP

Вариант 2

Сделать экспорт ветки реестра

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Поменять  RDP-Tcp на RDP-Tcp-New
Отредактировать параметр PortNumber. Make sure you write it in hexadecimal format. For example, for 3390 you must enter D3E (use calculator in scientific mode to easily convert decimal to hexadecimal format).
Импортировать отредактированную ветку реестра

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp-New

 Появиться новое новое RDP-TCP соединение, настроить его параметры как надо

Здесь еще советуется каждое RDP-TCP соединение закрепить за группами в AD, а в группы добавить соответствующих пользователей.

Сам задавался такой задачей (клиенты терминала тонкие Linux RDesktop и им все равно, 
что прописано в групповых политиках сервера. Поэтому поступил так:
сделал 3 вида терминального доступа на трех разных портах.

Путем редактирования реестра, добавлением веток добавил два раздела

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp_Map

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp_Admin

копированием раздела

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Подробнее можно здесь

http://www.petri.co.il/add_a_new_rdp_listening_port_…rminal_server.htm

далее апплетом

start->Administrative Tools->Terminal Services Configuration->Connections

1.на стандартном подключении выключил возможность перенаправления ресурсов RDP-Tcp

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

2. на нестандартном порту включил перенаправление RDP-Tcp_Map

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp_Map

3. на нестандартном порту сделал подключение для администратора RDP-Tcp_Admin (это может быть лишнее)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp_Admin

Порт для сервиса определяется в параметре

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\(Название подключения)\PortNumber

Клиенты подключаются к серверу терминалов через server:port (в случае если порт нестандартный)
В каждом из терминальных подключений прописал группы, которые могут использовать это подключение
и разбросал пользователей по этим группам.
Соответственно, если пользователь пытается подключиться к терминальному подключению, 
которое ему не разрешено, ему происходит отлуп.