チャブーンです。
情報を拝見したうえで、いえることですが、ホスト名とIPアドレスの指定によって結果が異なる、については、認証プロトコルのちがいです。
IPアドレスで指定した場合、WindowsはNTLM認証を行います。このNTLM認証の結果がリモートデスクトップ側のログとして出ている、といえると思います(4625はログオンの失敗です)。
ホスト名で指定した場合、WindowsはKerberos認証を最初に行います。Kerberos認証の場合、パスワードの事前チェックを行う「事前認証」がありますが、これに失敗(パスワードが違うので当然ですが)したログが4471になります。
ここで問題となるのが、ログオンに失敗したログはリモートデスクトップ/ドメインコントローラ双方に記録されるものではないのか？ということですが、これは「設定にによって可能になる」となります。本来記録は可能ですが、現在の設定では「成功」のみが記録され失敗は記録されない状態になっているのだと思います。
ログオン失敗を「記録しなければならない」運用であれば、ドメインコントローラやリモートデスクトップサーバのセキュリティポリシーの「監査ポリシー」で「アカウントログオンイベントの監査」と「ログオンイベントの監査」を「成功」「失敗」の両方に設定して、ポリシーを適用させてください。ログオン失敗のログが記録されますが、ログの量は増えますので、この点は注意してください。
