ettaluni

Каким образом отделить сервер и локальную сеть - DMZ, firewall и маршрутизацией
Каким образом отделить сервер и локальную сеть, для сервера выбрать один ip, а для остальных устройств другой? - тебе в сети для самых маленьких
Каким образом настроить защиту сервера - Я не знаю какая у тебя сейчас структура но класса все в одном не получиться, лучше купить межсетевой экран. Ну вот тебе пера слов для начального копания, iptables, file2ban, само тело php сервера, безопасность cms.
Возможно это поможет навести справки и определить куда копать, а так защита это целая стратегия. Решения подбираются под конкретную ситуации и возможности. Короче тебе все равно придется читать маны))

Ставить доп. роли на контроллер это моветон. Active Directory можно сочетать только с Active Directory.
Сервер печати вообще отдельно от всего, драйвер заглючит задолбает с синим экраном.
Терминалы тоже отдельно, как в целях безопасности, так и в особенностях нагрузки.
Видюшки тоже отдельно, потому грузят диски и проц.

Версия подбирается больше под ткущий парк, а так лучше новую дольше простоит (в плане безопасности, требований)

Оснаска управление компьютером -> Общие ресурсы. Там все есть

Если одного сотрудника спалить то можно подключиться к сеансу. Команда Shadow вроде.
А всех смотреть ставить софт что будет нагружать сервак, не ахти идея нафиг нужно!
Я бы ввел скрин-скрипт в планировщике задач, что каждые 5 минут например делал скрин от учетки пользователя и ложил бы его в сетевую папку. Сетевые права на папку скриншотов начальнику подразделения и усе. И никаких шуршащих процессов.

Может тебе нужно применить политики для компьютера, а настроил ты их для пользователя? А gpresult показывает политики для компьютера, gpresult /USER вроде, чтобы для юзера показала. И вообще перезагружаться нужно, когда с политиками мучаешься.
Также тебе могут мешать другие политики на которых настроено замыкание, тебе может мешать твоя сеть когда политики не успевают их применить, и пес знает что еще. Советую любые новые политики отрабатывать на тестовой машине.

Перезапуск - это сумма двух предыдущих команд не более того

У тебя же hyper-V. Используй реплику. Это сразу и бэкап и готовя к бою копия.

RemoteApp для браузера. расскажи зачем?
А так можно сделать единый неизменяемый профиль. Трудно сказать как, давно это было но в user.js можно все настроить. И кэш чтоб не сохранялся и настройки чтобы нельзя было менять, и вкладка только чтоб одна была и.т.п.
Расширения это же файлы xpi, они хранятся в папке. Тебе нужно, для всех пользователей скопировать эту папку.
Или еще лучше, указать путь к профилю и сделать единый для всех. profiles.ini. Но опять же прийдется вручную прописывать путь. С общим профилем могут быть впоследствии проблемы.
Я бы предложил использовать групповые политики для массового распространения файлов, но не знаю, работают ли они при событиях remoteApp.