Павел Межуев

Раздавать /28 подсеть на все устройства не надо и она нужна лишь для связи между офисам. В самих же офисах делаете свои подсети необходимого размера с любыми адресами, главное чтобы они не пересекались между собой и выделенной вам провайдером подсетью. Например, резервируете 10.2.0.0/16, 10.3.0.0/16 и 10.4.0.0/16 для офиса 1–3 соответственно.

Далее на пограничном маршрутизаторе в каждом офисе настраиваете:

1. LAN-порт на обслуживание локальной подсети.
   
2. WAN-порт для L3VPN, выделяя один IP-адрес на устройство (офис). Например, 172.16.0.2, 172.16.0.3 и 172.16.0.4 для офиса 1–3 соответственно.
   
3. WAN-порт для доступа в интернет если это необходимо.
   
4. Маршруты для доступа к другим офисам через L3VPN. Для офиса 1 будет примерно так:
   

   Destination     Gateway
   10.3.0.0/16     172.16.0.3
   10.4.0.0/16     172.16.0.4

   
   
5. Для трафика между локальными подсетями отключаете NAT, если по умолчанию на вашем железе он включён.
   
6. Соответствующим образом настраиваем файрволл (если есть), чтобы входящий трафик из других офисов не блокировался.
   
7. Опционально для параноиков. Поднимаем свой VPN между офисами, чтобы недобросовестный провайдер не мог смотреть трафик.
   

Смотрите Configuration → Firewall. Все доступы настраиваются там, в том числе можно и по пользователям разграничить.

Что лучше в плане безопасности?

До окончания поддержки Windows 7 осталось чуть более 8 месяцев. Ответ, думаю, очевиден.

И какой дистрибутив брать?

Официальный.

И еще, можно ли ставить хом версии?

Можно. Для операционной системы такого запрета нет. Но редакцией Pro легче управлять.

Они же вроде дорабатывали десятку и по идее она должны быть лучше.

Так и есть. Работает как минимум не хуже на том же железе, даже древнем. В ряде случаев лучше.