[Dirk Diggler]

192.168.1.2 - dc01 (контролер1, он же файловая шара) 192.168.1.3 - dc02 (контролер2, резервный) 192.168.1.4 - ts01 (терминальный сервер) У пользователей в москве - десктопы, которые полноценно используют файловую шару на прямую У пользователей в питербурке и екатеренбурге терминальные клиенты через которые они используют файловую шару а так же... есть несколько десктопов, к примеру для локального сканирования. Задача: запретить региональным пользователям с десктопов обрашаться к файловой шаре на dc01, при этом оставив возможность использовать GPO (sysvol, netlogon) Вот. В краце топология. »

Навскидку не вспомню, но - закрываем 192.168.1.2 для регионов для любый IP-пакетов, кроме DNS(если он используется в кач-ве DNS).
Далее - либо клиенты автоматически будут использовать второй контроллер, либо для этого понадобятся небольшие пляски, но ничего сложного емнип. Возьмите пару мануалов по AD, например Зубанова, и в путь.