Вот с этим все замечательно. TCP 3389 фильтруется на ура. Кроме того замечательно проверяется DNS resolution для RDP клиентов. А так же SYN/RST если сервис на писюке не поднят.
Что касается VDI, без Riverbed я не смог бы отбиться, когда хардверные VDI клиенты выдавали ошибку сети. Оказалось, что VDI image был сконфигурирован с недостаточными ресурсами и бутился так медленно, что хардверный VDI клиент отваливался по тайм-ауту.