Роман Безруков

ГОСТ Р 57329-2016 Системы промышленной автоматизации и интеграция. Системы технического обслуживания и ремонта. Термины и определения
Подходит?

В exchange 2013 была такая возможность

Скорее всего настроено было до Вас. Все, что есть в интерфейсе - это назначение Full Access и/или Send As.
То, что Вам надо, можно реализовать:
А) Задать права на папку Входящие (и другие нужные папки) подопытного ящика через командлеты Set-MailboxFolderPermission или Add-MailboxFolderPermission (в русской версии Exchange названия папок тоже русские). Необходимые права - FolderVisible и ReadItems или роль Reviewer;
Б) Создать на сервере транспортное правило, которое будет автоматом копировать все (например, входящие) сообщения подопытного ящика в ящик начальника

В1. Поднимите VPN для подключения к доменной сети снаружи.
В2. У Вас есть домен - поднимите RD Gateway, настройте политики подключения в нем и подключайтесь снаружи через него
На самих доменных компах настройте параметры подключения и разрешения через GPO

wbadmin пробовали?

Если правильно помню - нативные средства не имеют таких настроек, как Вам надо
Из сторонних инструментов - DeviceLock Endpoint DLP Suite, например

Вот тут, похоже, Ваш случай описан...

В облака углубляйтесь, DevOps - пригодится

А если взять родной MySQL коннектор? (примеры)

Сертификаты привязываются именно к сервисам (IIS, SMTP, POP, IMAP), а не к коннекторам

netsh interface portproxy add...
Подробнее в первоисточнике и тут

Если хотите средствами Windows Server - смотрите, например, в сторону Always On VPN

Это возможно. Например, logon-скрипт в локальной политике сервера

Что-нибудь из этих рекомендаций делали?

А конечная цель такой конфигурации какая? Что мешает цеплять папку пользователя как диск при входе? Дополнительно можно перенаправление стандартных папок включить...