CityCat4

1. Никак. startx - метод тестового запуска Х, который используют при тестировании, проверках, сбоях DM. Для регулярной работы он уже лет ... эээ... пятнадцать как не используется.
2. При запуске Х через startx выполняется скрипт .xinitrc в домашке, соответственно будут выполнены все команды, которые в нем. Например:

xautolock -time 15 -locker "xlock -mode dclock -messagefont 12x24bold -planfont 12x24 -font 12x24 -fg white -bg -black -time24" &
gnome-terminal --geometry $XGEOM+923+116 --title "X terminal" --hide-menubar &
gnome-terminal --geometry $XGEOM+185+49 --title "Root terminal" --hide-menubar -e "sudo tcsh" &
xhost +
exec starttde

Нет.

Нормально будут работать только простые программы типа winbox (морда управления микротиками). Еще у меня запускалась самсунговская морда для управления АТС, Revo Uninstaller, небольшое количество игрух. Wine - вымирающий проект, его необходимость была тогда, когда не хватало ресурсов на виртуализацию, ну либо нужно запустить одну-единственную программу под винду, но не хочется покупать винду. Сейчас проще KVM-виртуалку сбацать. Для ворда-екселя-браузера достаточно будет Spice, для игрух можно попробовать поставить в комп вторую видюху и пробросить в винду (сам еще не пробовал, но уже в процессе)

Что там говорить, когда у меня даже FF в вайне не взлетел. Вернее, взлететь-то взлетел, но Flash в нем так и не пошел (а нужен был исключительно ради Flash)

Память, видеокарта, кривые дрова. Особенно, если видюха интегрированная - с подобным сталкивался. Возможно от малого количества памяти или от умирающего диска, когда система уходит в своп, а диску плохо.

Логи смотрите.

Вариант 1 используют очень храбрые, очень ...неумные либо фанаты Microsoft, непоколебимо верящие в силу файрволла от MS. Если это про Вас - Ваш выбор.
Вариант 2 используют те, кто любит постоянно лечить компы юзеров от майнеров и жаловаться на то, что почту блокируют за спам. Ну, либо тот, кому совсем уж нечего скрывать :) Если это про Вас - Ваш выбор.
Вариант 3 уже больше похож на типовую схему построения.

DHCP не стоит держать на роутере. Роутер должен делать то, для чего предназначен - роутить. Ну еще файрволл и VPN, по необходимости. DHCP относится к базовым ролям внутренней сети и держать его IMHO нужно на сервере AD - нагрузка копеечная, зато если вовремя заполнять данные оснастки - можно использовать ее в качестве таблицы распределения IP - не весь же сегмент у Вас динамика, сервера как правило имеют статические адреса.

Эксч категорически рекомендуется отделить от AD. Прокси, если есть - тоже отделить. При нынешних технологиях виртуализации это сделать куда как просто. Файлопомойку - тоже отделить.