O NLA é um modelo de autenticação suportado com o RDP7 e superior. Você não precisa ter o NLA necessário, pois parece que seu cliente não o suporta.
O RDP não faz ideia se você está se conectando através de uma VPN.
Em todas as probabilidades, havia alguma latência devido ao usuário estar logado (o que inibiria a associação do grupo de ser atualizado) ou algum outro motivo desconhecido (propegação do diretório ativo, peras?) que fazia com que o usuário não aparecesse eles eram membros de Remote Desktop Users
.
Remova o requisito de NLA e tente se conectar novamente.