Андрей Бируля

В общем случае не вижу никакого смысла прятать rdp за vpn - перебор паролей будет идти и там, и там. Вы только усложните на пустом месте доступ сотрудников к своему серверу. Разумнее, как мне кажется, использовать двухфакторную авторизацию для логина на сервер.

если речь идёт о вин8/10, то кроме упомянутых yandex.dns разумным было бы завести детскую учётку мс. тогда вы сможете не только ограничивать время работы за компьютером, но и следить за программами и сайтами, которые несознательная школота ставит и посещает.

На регулярно обновляемый win2008, если это действительно сервер, а не десктоп эникейщика, нет никакой необходимости ставить антивирус.