saludos a todos y muchísimas gracias por responder
después de mucho trabajo, pude solucionar el problema
de la siguiente manera:
la lógica es: en una variable de aplicación meter el código de empleado (es único entre los usuarios) cuando hayan iniciado sesión, para que si se va a volver a meter, se mira a ver si está ahí, y si está, no se le deja iniciar sesión, si no está, pues sí inicia normalmente. la información se tiene que eliminar de ese lado cuando la sesión se termine, ya sea por Session.Abandon() o por timeout.
lo que hice para validar que si un usuario ya ha iniciado sesión, no pueda hacerlo de nuevo desde el mismo o otro computador:
1. en el global.asa se creó una variable de aplicación de tipo recordset para ahí guardar los datos (sessionid -necesaria para eliminarla cuando termine sesión-, codempleado -necesario para hacer la validación en sí- y started -para saber cuándo y a qué horas inició sesión; no es necesario-) de los usuarios activos (los que han iniciado sesión).
2. en el application_onstart del global.asa, se definen los campos anteriormente nombrados y se abre el recordset
3. en la página de validación, cuando el usuario ya ha ingresado su login y pwd, y cuando ya se ha comprobado que existe en la BD, se valida si no tiene una sesión activa (si ya ha iniciado sesión) en ese momento, confrontando el código de empleado (que se trae en el query que busca si está en la BD el login y pwd) con los códigos de empleados de los que tienen la sesión activa (es un campo del recordset de aplicación que creamos en el punto 1).
si la validación es positiva (el usuario ya tiene una sesión iniciada en ese momento), redireccionamos a la misma página, con una bandera para que diga que "ya ha iniciado sesión".
4. si no está en ese momento logueado, es decir, si no ha iniciado sesión, es decir, si la validación anterior es negativa (no redireccionó), metemos entonces los datos del usuario al recordset.
5. en el archivo usuarios_activos.asp se pueden ver los datos de los usuarios que en ese momento están activos.
6. cuando el usuario termina sesión (dándole [salir] en algún lado, lo que lo lleva a validar_usuario.asp?salir=1, lo que hace Session.Abandon()), en el session_onend del global.asa se busca el usuario (por medio del sessionid) y se elimina del recordset. ésto también se cumple cuando se cumple el tiempo de vigencia de la sesión (10 minutos).
si el usuario NO termina su sesión (Session.Abandon()), sino que cierra el browser, y quiere entrar en menos de 10 minutos, tiene que esperar a que pasen 10 minutos para que su cuenta se acabe... por eso se debe recomendar que salgan por [salir]
chau!