Во-первых, клиенты кэшируют у себя dns ответы на срок жизни TTL записи и обращаются к последнему использованному до бесконечности, если эта запись ещё актуальна.
Во-вторых, при первом обращении выбирается первая доступная запись.
Клиент по очереди в списке опрашивает их и возьмёт первую рабочую.
В этой ситуации уже задача DNS сервера каждый раз возвращать список в разном порядке. Он это может делать по разным алгоритмам, чаще всего по round-robin, иногда по меньшему пингу или первому ответившему.

Не понятно, что значит доменка стала на. 27, да и вообще ваша терминология не понятна.
У всех устройств, и доменного контроллера, если это его вы подразумеваете под DC, должен быть статический IP, зарегистрированный в вашем локальном DNS
Это же DNS должен использовать qnap.

Ваши vpn клиенты, подключившись к вашей сети также должны использовать ваш DNS, чтобы знать, какой ip у кого в вашей сети.
DNS обычно объединяют с доменным контроллером, а в микротике его указывают.
Также в микротике необходимо настроить редикерт вашей DNS зоны на ваш DNS сервер в сети, чтобы микротик мог правильно резолвить внутренние хосты в сети.

Видимо, при подключении rdp клиента, меняется таблица маршрутов, и вероятно, дефолтный гейтвей.

Сравнивайте маршруты до и после подключения, а также гейтвей и dns. Сделайте трассировку на клиентах, когда отвалился инет, куда идёт их трафик. Вероятно, как раз через этот сервер, который в свою очередь, не может выйти в инет, так как у него поменялся дефолтный гейт или тп

Здесь не проблема с файрволом, иначе бы был другой отлуп.
https://help.mail.ru/notspam-support/errors/ipblock

У многих проблема с отправкой на mail.ru
Некоторым удалось решить проблему с таймаутом так:

/sbin/sysctl -w net.ipv4.tcp_mtu_probing = 1

Если на другие хосты уходит, а mail.ru нет - то он вас забанил.
Если и на другие не уходит - то проблема в вашем конфиге. Сервер не знает куда релеить трафик, чтобы отправить его наружу (настройка mynetworks).

Но в любом случае, как было сказано, надо убедиться:
- что у ISP не заблокирован 25 порт для релеея
- Что ваш сервер не банан у mail.ru (если что, вы тащить можно по заявке https://help.mail.ru/ennotspam-support/ip_block)