Симптомы

Можно ли сделать двухфакторную авторизацию исключительно для одного правила порт-форвардинга (в данном случае проброс RDP извне внутрь ЛВС)?

И чтобы она не затрагивала пользователей выходящих в интернет из локальной сети.

Решение

1. Прописать для данного профиля (MFA)в настройках captive-портала ip источника и всех, кто будут указан, будут проходить двухфакторную аутентификацию.
2. Прописать для данного профиля в настройках captive-портала ip назначения - сервер или адрес, на который вы будете переходить по RDP. Если учесть, что на него вы сможете попасть только через порт-форвардинг.