iwnch

tpm модуль и security boot дожны быть включены это одно из требований системы и стиль диска gpt

In-place upgrade - штука сама по себе не совсем безопасная, тем более для контроллера домена. По-хорошему - рядом разворачивается новый сервер с нужной ОС и поднимается до КД

ошибка на этапе установки safe_os во время операции boot 0xC1900101 - 0x20017

ошибка-то, в целом, более-менее известная, причин - вагон+тележка (свободное место на диске, дисковые разделы, драйверы, настройки обновлений, папка Software Distribution и т.д.)

P.S. я с In-place upgrade до WS2025 еще не игрался - про указанную ошибку конкретно в случае WS2025 ничего не скажу...

забудь про ftp, ssh наше всё, его достаточно

Что ты там замазал 10.0.2.15?)) Это дефолтная сеть VirtualBox.
Чтобы посадить машины в одну сеть нужно:
выключить машину -> в менеджере нажать на машину -> Настроить -> Сеть -> Тип подключения: "Внутренняя сеть" -> назвать как-нибудь.
На второй машине сделать тоже самое, но выбрать ту же сеть что и на первой машине. Таким образом обе машины окажутся в одной подсети. А при установке (скрин) ничего не надо вписывать, а поставить автоматические параметры.

А для доступа кластера во внешку нужно поднять ещё одну машину в качестве роутера, со всеми вытекающими (форвардинг, роутинг, DHCP-сервер и пр.) на которой в тех же настройках сделать 2 Ethernet адаптера, из которых первый будет смотреть в локальную сеть (ту же что и у первых двух машин), а второй во внешку - NAT.

Роутер кинетик умеет пускать траффик через тоннель для определенных подсетей следующим образом
1. Интернет — другие подключения — создать подключение с туннелем
2. Сетевые правила — маршрутизация — Статические маршруты — Добавить маршрут
3. Чтобы добавить подсеть надо выбрать Маршрут до сети. Шлюз можно забить 0.0.0.0. Так же нужно выбрать Интерфейс = подключению из пункта 1.
4. Чтобы узнать подсеть можно воспользоваться разными сервисами, например 2ip. Подсеть может выглядеть следующим образом 157.240.0.0/16

Использовать данное решение стоит только для доступа к разрешенным ресурсам. На счет запрещенной социальной сети не подскажу.

При разворачивается стенда, потенциально, есть проблема с ip адресом

Либо надо строить изолированную подсеть.
Причём, если тестовый клиент - физическая машина, то надо настраивать отдельный vlan или использовать отдельный интерфейс на сервере, если есть свободный. Но в этом случае, песочница не будет иметь выход в интернет.

Есть вариант смены ip на контроллере. Но это отдельная процедура, но даже в этом случае лучше использовать отдельную физическую сеть (vlan), так как часть сервисов работает на broadcast.