Блокировать RDP-соединения, кроме VPN

Я хочу разрешить 3389 порт (RDP) только через VPN-соединение, а не обычно. Как я могу это сделать?

Я настроил VPN сервер в Mikrotik. Я заблокировал весь трафик, кроме http и https фильтром брандмауэра. Я позволил 3389 по правилу фильтра, и прямо сейчас другие системы(за пределами нашей сети) могут делать RDP для наших систем интрасети независимо от VPN. Я имею в виду ноутбук(клиент за пределами нашей сети) может в состоянии сделать RDP с/без клиента VPN. Мне нужен клиент должен соединиться с VPN-сервер Mikrotik затем сделать RDP к системе интрасети в противном случае отключить.

Как заблокировать другое RDP-соединение, кроме RDP через VPN?

Right Now:

   --------     pptp tunnel     ------------         ---------- 
  |        |   ============    |            |       |          |
  |laptop  |  --------------   |  Mikrotik  |-------| system A |
  |        |   ============    |            |       |          |
  |        |  --------------   |   router   |-------|          |
   --------                    |            |        ----------
                                ------------


I want :

   --------     pptp tunnel     ------------         ---------- 
  |        |   ============    |            |       |          |
  |laptop  |  --------------   |  Mikrotik  |-------| system A |
  |        |   ============    |            |       |          |
  |        |                   |   router   |       |          |
   --------                    |            |        ----------
                                ------------