Подключайтесь к VPN только вне офиса LAN

Я пытаюсь найти способ заставить клиентов домена подключаться к офисной локальной сети с помощью VPN только тогда, когда он физически отключен от указанной локальной сети.

я обнаружил этот и этот подробные официальные руководства. Насколько я понимаю, это только заставит членов домена подключаться к указанной VPN; даже если член домена уже находится в локальной сети, к которой должен подключаться VPN, по сути, это избыточное упражнение.

• Как сделать так, чтобы перед подключением к VPN он гарантировал, что находится вне локальной сети? Как компьютер может идентифицировать конкретную сеть (т.е. что он может использовать для идентификации сетей, чтобы я мог ее подготовить)?
• Всегда ли сценарий входа в систему должен быть получен от DC? Могу ли я сделать так, чтобы копия постоянно копировалась для всех участников при создании объекта групповой политики?

PS Может ли кто-нибудь, знакомый с использованием вышеуказанного объекта групповой политики, предоставить пример L2TP / IPSec XML?