GPO deaktivieren wenn nicht im LAN oder an der Domäne?

2003erAD, Standort=OU einer großen Konzerndomäne, Proxy für Internetexplorer wird per GPO eingetragen

Hallo zusammen

Wir verwenden seit einiger Zeit einen kleinen Squid3-Proxy, welcher unerwünschte Seiten und Werbung aus dem Firmennetz hält. Der Proxy wird per GPO in der InternetExplorer-Verbindung eingetragen, klappt wunderbar.

Nur haben wir das ganze NICHT für unsere Notebook-User aktiviert, da diese sonst ja probleme bekommen wenn sie in anderen Standorten oder gar in Fremdnetzen/Zuhause online gehen, und der Proxy nicht gefunden werden kann.

Nun habe ich schon überlegt alles zu scripten, die Proxyeinträge abhängig von der aktuellen Verfügbarkeit des LAN's zu machen, aber vielleicht geht's ja auch einfacher?

Meine Frage:

KANN man - am liebsten mit vorhandenen AD-Hausmittelchen - definieren, dass eine GPO nur dann Greift, wenn der Rechner auch am Netz ist, dass die Einstellungen aber zurückgenommen werden sollen, wenn der Rechner sich nicht am AD (lieber und optimaler wäre "nicht am örtlichen DC oder definierten IP-Bereich") anmeldet?!?!

Oder gibt es eine andere schlaue Lösung, z.B. eine dynamische Überprüfung ob der Proxy "da" ist, wenn ja -> verwenden, wenn nein - ohne Proxy ins Web (was bei uns ja geht... ist nur logisch dazwischengeschaltet).

Wie macht Ihr das mit den Roaming-Usern?
Den Proxy hart vor's WAN zu schalten habe ich nicht vor, die Konstellation soll so bleiben!