Alexey Dmitriev

Ваш вопрос выглядит, как странный полет мысли.
Это может быть - установка ОС по сети, тогда что-то типа WDS и PXE boot.
Работа в режиме бездисковых рабочих станций и тогда вам нужно соответствующее ПО и инфраструктура.
А это "но не может свернуть программу, пока сервер не разорвет соединение" - вообще не понятно.

Попросить подобрать лицензию у тех, у кого будете покупать.

Никто через реестр уже не делает.
Для изменения настроек прокси есть стандартные настройки в GPO Preferences, например тут
User Configuration -> Preferences -> Control Panel Settings -> Internet Settings

То, что написали выше про поиск DC - врядли может быть причиной такой длительной загрузки. Вероятнее всего проблема в неправильном конфигурировании какой-то политики GPO, например logon script с включенной опцией Logon Script delay и т.п. Дл\я диагностики перенесите временно ноутбук в отдельный OU, заблокируйте наследование, обновите список политик через gpupdate /force, а затем попробуйте логин вне корпоративной сети.

"Если отключить через брандмауэр" - видимо не правильно отключаете. Нужно правильно составить правило, которое будет разрешать с адреса сервера (или для конкретных групп или пользователей) доступ на определенный сервер и запрещать для остальных.

За значок отвечает служба\процесс NCSI (Network Connectivity Status Indicator). Ее можно настроить на кастомную ссылку например внутри локальной сети. Но по идее после получения доступа в интернет и через VPN значок должен измениться после проверки на сайте MS.

Нужно взять инструкцию из интернете и проделать все шаги. Там как минимум необходима конвертация в gpt и другие шаги.

Это называется SSO, попробуйте погуглить по запросу RDP SSO

Нет, лагать не будет. Ставьте.

Раньше это решалось поднятым WINS сервером. Сейчас это считается устаревшим подходом.
Но и другой подход MS НЕ предлагает, считается что сетевое окружение не используется больше.
Попробуйте обеспечить маршрутизацию NETBIOS протокола из впн в сеть и обратно

Да, возможно.
Через powershell логика такая. Получить список нужных машин (сборов по сети или вручную создав файл), зайти в цикле ForEach на каждую машину по enter-pssession или invoke-command и достать через Get-LocalGroupMember список членов нужной вам локальной группы, записать его в файл или переменную.
И это только один из вариантов - гораздо больше их есть в Интернет, если соблаговолите погуглить

Правильнее поднять новый контроллер в другом йод, а потом вывести из эксплуатации старый.
Если он у вас один - это не правильно. Если несколько - вы же понимаете как авторизация в AD работает, как DC locator действует?

Да, "Это настраивается в самом VPN"

На пользовательских папках права есть только у самого пользователя и членов локальной группы Administrators.
Так что или руками выдавать или добавлять в локал админы на каждом компе или дать безопасникам доступ к LAPS

Причем тут пользователи?
Если были потеряны trust relationsheeps между компьютерами и рабочими станциями, значит компьютеры 180 дней не имели связи с контроллером домена и их (именно учетных записей компьютеров) пароль был просрочен.

Добавить нужный ярлык в %AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar пользователям через GPO