hint000

Нужно самое простое решение

Ноутбук с установленным TeamViewer или AmmyyAdmin (или ещё две-три аналогичных программы). И объяснять ничего не надо, подключаетесь к ноутбуку и работаете, как будто вы сидите за тем ноутбуком.

чтоб мог понять такой тугодум как я

Все другие варианты сложнее, требуют вникать.

Вы не можете запретить клиентам ломиться в интернет через ваш VPN. Но вы можете файерволом заблокировать такой трафик. Или просто отлючить для них NAT. Будут ломиться, но не будут достигать цели. Т.е. интернет у них будет недоступен, только ваши локальные ресурсы. А вот уже для тех, кого не устраивает отсутствие инета, предложите инструкцию по правильной настройке маршрутизации (на стороне клиента). У тех, кто сделает по инструкции, будет так, как вы хотите. У тех, кто не сделает по инструкции, не будет инета, пока не отключатся от VPN.

какие то проблемы с протоколом
asyncmap 0x0 auth chap MS-v2

В этой строке ни о каких проблемах не упоминается.
~90% за то, что провайдер не пропускает протокол GRE, без этого протокола не будет работать PPTP.

В принципе у вас всё есть, даже VPN не нужно пробрасывать, провайдер за вас всё сделал. Осталось только маршруты прописать на Kerio и на Mikrotik'ах и готово.

Могут быть грабли, если про план ip-адресации раньше никто не думал и внезапно окажется, что в разных филиалах используется одна и та же сеть (например, "любимые" всеми админами 192.168.0.0/24 и 192.168.1.0/24).

Можно попробовать создать два бриджа.
К первому бриджу прицепить первую виртуалку и первый VPN.
Ко второму бриджу прицепить вторую виртуалку и второй VPN.
При этом на хосте ни в один из VPN маршрут по-умолчанию не направлять.
Теоретически должно сработать, на практике нужно проверять.