Alexey Dmitriev

Конечно keenetic. На forum.keenetic.com несколько вариантов реализации через entware и opkg

nmap показывает не открытые порты, а открытые порты, на которых "слушает" какой-то сервис.
Если порт пустой - кто даст ответ, что он открыт?

Если ваши роутеры не смогут образовать между собой mesh сеть (один должен быть роутером, а второй настроен в качестве усилителя\repeater), ничего хорошего не получится - первый не будет отдавать "сигнал от устройства", пока уровень его не пропадет совсем.
Если нужно улучшить площадь покрытия, то нужно оборудование, которое умеет "передавать" устройства от одного источника wifi сигнала к другому. У TP-Link это onemesh https://www.tp-link.com/ru/onemesh/product-list/

Теоретический расчет количества точек без замера уровней сигнала в реальной обстановке будет отличаться от реальности-даже с учетом использования программ по замеру сигнала и с указанием правильных перекрытий и т.п.
Можно пообщаться с техподдержкой TP-Link и спросить у них совета по расчетам.
Вы можете использовать и выбранные вами TP-Link EAP 225 или 245, но как уже тут указали - в массовом сегменте Ubiquiti UniFi более распространенный вариант.
Хотя IMHO самый правильный вариант конечно - это заказать проект покрытия WIFI у специализирующейся на этом конторы - это дорого, но голова по уровню сигнала у них болеть будет.

Наймите профессионалов.
По любым советам отсюда - вы не сможете гарантировать, что настроено так, как указано в ваших технических условиях.
Самый простых варианта два:
1. Поднять любой VPN на сервере "windows server 2012, на котором удалённо работает 1С-программист", пробросить на TPLink порт, на котором слушает VPN сервер.
2. Ограничить проброс порта RDP внутрь только для ip адреса/подсети провайдера программиста 1С.