CityCat4

Каждая "простая и интуитивно понятная" утилита - она кем-то должна быть написана, оттестирована, собрана в пакет. Так уж повелось, что такого рода работу бесплатно делают энтузиасты, а за деньги Вы вряд ли согласитесь ее покупать.
Так что как пиравило решение одно - читать олиферов и справочник линуксоида, грызть man iptables и писать правила.

За NAT, без содействия прова (а как правило при его активном противодействии) ничего не пробросить. Вывод серверов в тырнет из-за NAT - всегда по одной схеме - VPN до VPS, где стоит нечто, которое перенаправляет соединения на сервера.

Обычно для ограничения ресурсов используют прокси. Но Вы хотите странного - AD как раз и нужен для управления всем доменом целиком. Можно, конечно прокси поставить на линух и все пустить через него - но тут вопрос - а юзера с правами локального админа или без?

Имеются в виду десктопные версии? В файрволле невозможно. Такие вещи обычно блокируют через прокси, в данном случае блокируется whatsapp.org и его поддомены и telegram.org (и поддомены). Для телеги еще нужно туда же добавить t.me
Потом анализ логов и добавление всего того, что поначау было пропущено.

Если нужен сертификат - тогда только сертифицированное решение. Если нет - микротик + обычный линух решат все проблемы.

Хотелось бы сделать это на Windows.

На винде такие вещи не делают.

Я не знаю, что там у Вас за роутеры. Типовое решение - берется список GeoIP, парсится, формируется список нерезидентов, потом пишется одно правило - если src ip в списке - пристрелить. Делатеся это на линухе, на микротике... Вообще топологически это должно работать на переднем роутере - или же между первым и вторым (но лучше все же на первом)

Я бы глушил порт. В сети множество краулеров, которые ищут открытые порты, а когда находят начинают искать, как бы поломать.

Ни в чем. Просто это виндовый принцип - все свое ношу с собой.

Стандартная задача корпоративной сети.

Всех юзеров на прокси - настройки правда, раз не доменные, придется ручками вносить. В обход прокси все запретить. DNS строго конторский, никаких восьмерок. Для полного контроля понадобится бампинг - это опять же расстановка сертификата ручками, раз нет домена (один раз).

Теоретически можно transparent proxy, но я бы сделал обычное, чтобы юзера были в курсе, что появился Большой Брат - иногда даже намек на то, что за тобой наблюдают заставляет людей самодисциплинироваться.

Подключись по ssh, порт 22

Никак.

Сначала научи его расшифровывать https-соединения :). Во времена нешифрованного тырнета можно было через Layer7, сейчас же после повсеместного влезания рекламистов в каждую половую щель и, как результат - повального перехода на https - никак.

Подсказываю пойти и почитать уже учебник...

Могут ли перевести всех интернет-провайдеров, и все российские дата-центры на работу исключительно с разрешенным пулом IP-адресов?

Не только могут, но и непременно сделают так, причем скорее всего довольно скоро, как только начнется массовая волна построения персональных VPN в ДЦ за бугром.

если ответ на первый вопрос - да, то как это обойти?

Никак. Мы идем не по китайскому варианту, а по северокорейскому - жесткая изоляция "красного сегмента" с белым списком на выход .

Большим удивлением для меня стало то, что мне удалось подключить яндекс.диск используя протокол webdav.

Большим удивлением станет вызов в службу безопасности, когда это заметят. Раз работодатель блокирует ресурсы - значит он и проверять может - не пытается ли кто обойти эту блокировку?
Я обычно новым сотрудникам говорю так - "если за Вами не наблюдают - это не значит, что Вас не видят" и советую посмотреть мою аватарку в корпоративной почте (спойлер - там написано "Большой Брат видит тебя")

Файрволлу поуху на RSA ключ :) У него есть список правил, в соответствии с которыми он работает.

Это скорее холиварный вопрос :) У нас работает каспер (+ бесплатный ClamAV, который тоже нет-нет да и пристрелит таракана). Плюс постоянное инструктирование всех, кто работает с почтой - никогда не открывать вложения, никогда не нажимать кнопок в письмах и никогда не переходить по ссылкам.

Найти в тырнете один из стапятисот списков IP с телеметрией и заблокировать их нах на роутере.