有没有办法让terminal服务在服务器的物理networking接口上进行某种“抽象”操作，以便通过gpo进行pipe理来授予或禁止不同用户访问？
基本思想是拥有2个networking接口（用户和服务器/pipe理），而不是让terminal会话内的用户访问服务器/pipe理networking。
或者这是不可能的？ 什么是更好的方法来做到这一点？
你正在寻找的不是一个抽象的东西，而是一个基于用户令牌的防火墙解决scheme，它允许你对特定用户运行的进程进行沙箱/过滤。 这至less不是由Windows防火墙完成的 ，但可能有第三方解决scheme。
也许更好的安全方法不是混淆用户和pipe理基础设施，而是让pipe理员拥有一个不向用户开放的terminal服务器。