[Ingolder]

а почему одного ЦС вам недостаточно? »

ну как бы майкрософт собственно настаивает на трёхуровневой цепочке, но собственно можно и из двух, если организация небольшая, т.е. тупо один рутовый и все остальные.
Одного недостаточно - это же рутовый, который надо отключать от сети и прятать, как в одно звено можно сделать? никак, только два. (Нет, ну можно то оно всё можно, но в производственной среде такое не катит).

что вы имеете в виду? »

я имею ввиду, где нужно "поставить галочку", чтобы по впн могли подсоединяться только те компы, которые в моём домене?
а так же, не только те, которые в домене.