Alexey Dmitriev

Я бы взял что-то из серии Zyxel Keenetic, предварительно уточнив в техподдержке Zyxel - работает ли OpenVPN клиент в режиме WIFI-маршрутизатора или WIFI клиента.
Mikrotik в запрашиваемом контексте будет менее удобен.

HazySonic - про режим моста - в данном случае вам это не нужно и вы вероятно не очень понимаете, что такое режим моста. Режим моста - это пришел пакет на входящий интерфейс-без изменений передан на исходящий и наоборот.

Попробуйте это https://www.procustodibus.com/blog/2021/03/wiregua...
0.0.0.0/0 в Allowed, 172.17.170.0/24 в Disallowed

Настроить в сети remote Desktop gateway

Описать через allowedips все подсети, кроме локальных. Андроид или Windows (не помню точно, возможно оба) клиент умеет составлять их автоматически.
Вы же гуглили по запросу wireguard exclude local net?

Зависит от провайдера и условий договора

Вот так

Для Windows нужна служба RRAS, она присутствует только в серверных ОС.

Почитайте про Ethernet-кадры, как работает ARP, зачем нужен broadcast адрес и поймете.

Да можно прикрутить авторизацию разных видов (локальная\AD\AAD\Open ID), эта опция доступна из коробки, включая MFA\2FA.
Вам нужно обратиться к специалисту, который занимается у вас его поддержкой - он должен это все знать.

То, что поддерживает ваш провайдер. У него должен быть лист поддерживаемых модулей.
Просто так с любым, что вы купите-скорее всего не примут.
Маршрутизатор с SFP модулем IMHO удобнее.

iptables -j MARK + iproute2

Вам нужно решить проблему "Интренет Эксплорер всё грузит, но плохо и через раз".
Он должен работать нормально - возможно у вас сетевая проблема.

Можно - сделав проброс вам необходимых портов на роутере А на роутер Б

Вы создаете объекты не на RODC, остастка цепляется к одному из DC, по умолчанию вообще к PDC Emulator.

P.S. Вы же в курсе, что Server 2008 уже out of life?

Теоретический расчет количества точек без замера уровней сигнала в реальной обстановке будет отличаться от реальности-даже с учетом использования программ по замеру сигнала и с указанием правильных перекрытий и т.п.
Можно пообщаться с техподдержкой TP-Link и спросить у них совета по расчетам.
Вы можете использовать и выбранные вами TP-Link EAP 225 или 245, но как уже тут указали - в массовом сегменте Ubiquiti UniFi более распространенный вариант.
Хотя IMHO самый правильный вариант конечно - это заказать проект покрытия WIFI у специализирующейся на этом конторы - это дорого, но голова по уровню сигнала у них болеть будет.

iproute2 умеет работать с маркированным через iptables трафиком.
Маркируете трафик в таблице PREROUTING через iptables -j MARK --set-mark как вам нужно, потом подхватываете его iproute2 и маршрутизируете, как вам нужно.

Попробуйте использовать не OpenVPN, а shadowsocks.
Либо изучите - как прятать траффик VPN под https.