Anmeldung von PCs an bestimmten AD-Controllern verhindern

Hallo,

ich habe folgendes Problem:

Wir haben in der Zentrale 2 AD-Controller an dem sich alle Außenstellen per VPN anmelden, in der grössten Außenstelle wollten wir unsere 2 Mbit Leitung etwas entlasten und haben uns gedacht wir stellen einen Server auf der AD macht, Profile der Mitarbeiter hält, Windows-Updates verteilt und den Virenscanner updatet...

Profile, WSUS und Sophos klappt super!
AD, klappt anscheinend so gut das sich inzwischen selbst PCs aus anderen Außenstellen und aus der Zentrale an dem 3. AD-Controller anmelden?

Wie kann ich unterbinden das PCs aus anderen Außenstellen und der Zentrale an dem 3. Controller anmelden?

Leider finde ich per Google immer weider das Problem das sich bei den meisten die PCs nicht am AD anmelden bzw. die syncro nicht funktioniert, das klappt super... wie gesagt anscheinend zu gut!

Grüße
Marcus