Дмитрий Шумов

А что у тебя в Security Filtering стоит?

ИМХО. Если нужна отказоустойчивость, я бы сделал так: 2 сервера под gateway, 2 под брокер, остальные в ферму. + 1 под SQL сервер это для брокера, для отказоустойчивости можно и 2 в Always On availability group. Но это если хочется замарочится.

Информации маловато. ИМХО что значит

имеется домен, который очень плохо функционирует...

? Если плох работает домен контроллер, то опять же ИМХО следовало бы выбрать метод ввода в строй дополнительного домен контроллера, перекидывание на него всех ролей, а затем корректный вывод неисправного.

Посмотрите это: https://bit.ly/3nx1uSD
Там много чего как подружить unifi и ad authentication

Ну если вы такой упорный, и искать в инете совсем не умеете, вот вам: тык!
Но потом не говорите, что вас не предупреждали.

Подвесте на логог/логоф скрипт, и смотрите в AD пользователь ходил онзаходил:

Param(
[Parameter(Position=0)]
[ValidateSet("Logon","Logoff","Unknown")]
[string]$Status="Unknown"
)
 
#no spaces in the filter
[adsisearcher]$searcher="samaccountname=$env:username"
#find the current user
$find = $searcher.FindOne()
#get the user object
[adsi]$user = $find.Path
#define a string to indicate status
$note= @("{0} {1} to {2}" -f (Get-Date),$status.ToUpper(),$env:computername)
[array]$NewVals = @()
$NewVals = try {
    ($user.GetEx('url'))[0..10]
}
catch {
    @()
}
$newVals += $note
#DEBUG, output values in ISE
#$NewVals |  out-host
#update the user property
$user.PutEx(2, 'url', $NewVals ) 
#commit the change
$user.SetInfo()
#DEBUG, output values in ISE
#$user.GetEx('url')

Как вы переносили?
Сервер на 2012 остался?
Синхронизация между двумя DC нормально прошла?
Уровень AD повышали?
Дайте более развернутые пояснения, иначе, начнется телепатия....

Попробуйте что-то типа этого:

$path = "$env:userprofile\AppData\Roaming\1C"
#if (Test-Path $path) {
#    Write-Host "Файл существует"
 #   exit
#} else {
   Copy-Item \\vsdc01\NETLOGON\1C –destination $env:userprofile\AppData\Roaming\ -recurse -container
#}

Конечно!
Правильный путь такой:
1) На каждом компе завести уникальных пользователей (тех кто будет за ними работать)
2) Вывести все компьютеры из домена
3) Объяснить пользователям как теперь входить на компьютеры.
4) Понизить роль сервера до рядового и вывести из домена.
Это в приближенном варианте, а так, нужно еще продумать перенос профилей из доменных в локальные (чтобы не потерять данные)
Возможно и не все учел, так как нет всех исходных данных по структуре.

А зачем? Не проще ли делать снапшоты виртуалок, ну или на худой конец бэкапить диск виртуалок (в варианте Hyper-V это vhd файлы)?

Если коротко - то нет.
Через политики - скорее всего да. Но не через AD

Основываясь на второй части вопроса, я бы делал так:
1) Понизил роль локального AD до рядового сервера с передачей всех ролей в облачную AD
2) Переподнял бы локальный AD но в режиме RO
3) Ну и обычная настройка синхронизации.
НО, не уверен, нужен ли шаг 1 т.к. не знаю возможно ли действующий AD переводить в RO без понижения и переподнятия.

Самый простой, и возможно топорный способ, это выбрать с shift-ом всех пользователей, потом ПКМ по ним, далее Properties, затем, вкладка Profile - поставить галочку в Home Folder и в поле вписать: \\server\share\%username%

Это самый простой, быстрый и тупой способ.
Ну или вот так, через PS:

$Dir = "\\server\share\"
$Users = Get-ADUser -Filter * -SearchBase "OU=OU,DC=domen,DC=ru" 
foreach ($User in $Users) {
	$User1 = $User.Name
	$Path = New-Item -ItemType Directory -Path $Dir -Name $User1
	$User = $User.sAMAccountName
	$Path1 = $Dir + "\" + $User1
    $Args = New-Object  system.security.accesscontrol.filesystemaccessrule($User,"Modify, Synchronize", "ContainerInherit, ObjectInherit", "None", "Allow")
    $ACL = Get-Acl $Path
    $ACL.SetAccessRule($Args)
    Set-Acl -Path $Path -AclObject $ACL
	Set-ADUser -Identity $User -HomeDrive "W:" -HomeDirectory "$Path1" -Server server
  	}

Чисто теоретически - никаких. Но я бы в скрипте на установку, заложил бы удаление старых версий. Так сказать для подстраховки.
Ну и тестировать, я надеюсь вы не собираетесь запускать в продакшн без тестов? :)

Смею предложить, как вариант: Microsoft DirectAccess возможно это то что вам нужно

Это дыра в безопастности. Вы уверены что хотите на выходе получить потенциальный источник проникновений?