Alexey Dmitriev

Windows Hello и Windows Hello для бизнеса это разные сущности. Вы настраивали политиками вторую, а используете первую.
Вам нужно воспользоваться советом Alexander Pikeev

В настройках DNS зоны устанавливается TTL.
В настройках сервера - время очистки.
Гуглить "DNS scavenging and aging".

1. Включить на сервере VPN выдачу при соединении шлюза по умолчанию (default gateway) на VPN соединение.
В таком случае все пакеты от клиента пойдут в VPN соединение.
2. Включить forward пакетов через ядро.
3. Настроить NAT (SNAT или MASQUERADE), если мы говорим о Linux.

Да это возможно.
Не из инсталлятора правда - хотя возможно он и поймет отформатированный в консоли раздел - стоит проверить например в виртуальной машине.
https://kubuntu.ru/node/12820
https://ubuntuforums.org/showthread.php?t=2241328

Маршрутизацией или NAT.

1. Свой собственный и простой как два пальца для отправки писем на сторонние почтовые серверы - не получится.
Нужно иметь настроенные reverse DNS record, SPF, DKIM, DMARC.
2. Почта для домена от яндекса, или мейл.ру для бизнеса будет проще.

Гуглите по запросам "что такое TGT" и "Что такое DACL".
Благодарить не нужно.

Используйте Powershell и WinRM.
Для выбора действий внутри одного скрипта можно использовать if else, тогда не нужно будет выходить из него в другие скрипты.
Запуск инсталлятора в Powershell можно реализовать созданием Scheduled Task на каждой конкретной машине.

Бесплатно - скорее всего не найдете того, что вас устроит.
Только создавать отдельные инстансы для каждого отдела. И это в принципе нормальная ситуация.
Я бы посоветовал что-то полегче типа https://bestpractical.com/request-tracker

Ничем не заменять. Пока есть поддержка.
1. Centos 7 еще долго будет поддерживаться.
Если разговор про Centos 8, то:
1. Посмотреть - взлетят ли обещанные форки Centos - наверняка будет возможность in-place перейти на них с Centos 8.
2. Уже сейчас подумать про переход на Oracle Linux.
3. Подумать про переход на Redhat Enterprise Linux - они испугались и изменили лицензию для разработчиков - вроде бы как с 1 февраля можно бесплатно до 16 машин с RHEL использовать, в том числе и в продакшне (в новостях пока ясности нет - как это будет происходить).

Вариантов два.
1. В настройках RDP на сервере найти настройку "Start the following program when the user....":
и добавить туда
Path c:\windows\system32\logoff.exe
Start in: c:\windows\system32
Это повлияет на всех пользователей сервера.

2. В настройках каждого аккаунта, которому нужно запретить вход через RDP - в свойствах аккаунта есть сценарий входа - можно сделать тоже что и в пункте 1.

Соответственно - если хотите это автоматизировать через группу - можно это сделать политиками или периодически запускаемым скриптом.

Подключаете к серверу с nginx статический ip. Вторым интерфейсом в локальную сеть.
А дальше все https\https можете проксировать через nginx, а остальное -через iptables, используя DNAT

После изменения настроек репозиториев yum нужно удалить php через yum remove php
и установить заново.
Надеюсь у вас подключен репозиторий remi