Lordzero

Убрать получение динамических dns, скорее всего они в приоритете.

после обычного роутера МТС, микротик конечно сильно отстает,

Да нет, это кривизна рук отстает от той, которая нужна для работы с микротиками :)

Для подобных вещей придумали RDP Gateway, в том числе с доступом по HTTPS и 2FA.
Но это расчитано для нормальной инфраструктуры и людей, а не для тех, кто придумывает подобное "в закрытый контур подключаться через 4 рдп сервера".

В микротик есть ppp profile, можно сделать два разных профиля. Даже с одной адресацией. Но для второго профиля сделать добавление в определённый адрес лист. Для этого адрес листа в фаерволе на микротике разрешить доступ по портам smb протокола до вашего файлового сервера всем остальным пользователям VPN запретить.

имеется организация, порядка 150 компьютеров, один сервер без ad, dc и прочего

Такой организации впору называться "Бардак Инкорпорейтед". Потому что там бардак у вас.

Я не будут расписывать что нужно сделать на текущей "топологии" - потому что ее нужно сносить нахрен и строить так, как это делается всегда - модем от РТК в режим моста, арчер меняется на приличный роутер, который используют юрики, заводится домен, все компы в домен, dhcp на dc и прочие вещи - это должен делать админ, которого озадачат это сделать (и дадут соответствующий бюджет).

Ну и разумеется меры административные, которые необходимы после такого периода "безвластия" и которые уже описал Алан Гибизов

Если развернете xpenology - обойдете описываемые вами минусы