Você pode adicionar uma coluna de endereço IP à entidade do usuário que armazena o IP do usuário atual no login. Em cada carregamento de página (por meio de um ouvinte de eventos), você pode verificar o IP armazenado no banco de dados em relação ao IP da pessoa que solicita a página. Se o IP no banco de dados não corresponder ao IP do usuário atual (alguém conectado de outro local), desconecte-o.

Para dar um passo adiante, via ajax, você pode fazer uma chamada para o servidor a cada X segundos que executa o mesmo tipo de verificação e fazer um redirecionamento para desconectar o usuário se a solicitação ajax retornar uma correspondência inválida.