придумал
1. совсем запретить коннект rdp со внешних ip
2. поднять на томже сервере vpn
3. админ или главбух коннектица к vpn а потом находясь в локальной сети со своими сетевыми правами коннектица к rdp

Изврат но на 100% рабочий.