Кассеты и hardened repository. Кассеты обычно после записи вынимают и отвозят на ответственное хранение. Ну и не забывайте базу вима бекапировать в надёжное место.
Указывает шлюзом по умолчанию роутер за vpn каналом и отдельно маршрут до vpn сервера через шлюз локального провайдера. Дефолтный маршрут через провайдера удаляет.
Без dhcp можно пользоваться link-local адресами в рамках одного L2 домена, но чтоб совсем без адресов L3 - это должен быть очень специфичный софт, который работает только по L2 опять же в рамках этого домена.
Подключить базу из бекапа в режиме recovery и скопировать данные.
Или поставить тотальный veeam, в exchange explorer подключить базу из бекапа и выгрузить почтовый ящик в pst