MVV

Если у вас установка свежая и ещё не в бою, считаю предпочтительным вариант выше, от Роман Безруков .
Но есть альтернатива, которую можно попробовать: загрузиться в безопасном режиме восстановления службы каталогов (надеюсь пароль для этого режима у вас есть) и переименовать компьютер обратно, как было. После чего - помолиться своему богу или постучать по дереву и попробовать перезагрузиться.
PS

Помимо разрешений на папку:
1. Убедитесь, что папка и файлы внутри нее не открыты по сети (в узле "Общие папки\Открытые файлы"в консоли управления компьютером, например).
2. Убедитесь, что у вас есть разрешения на удаление всех подпапкох и файлов на все подпапки внутри этой папки (имейте в виду, что наследуемые разрешения могут и не примениться, т.к. разрешения хранятся для кажого файла или папки отдельно).

Начать надо с того, что сервер времени - это часть конфигурации компьютера, а не пользователя (кстати, это видно на картинке по вашей ссылке). Поэтому посмотрите результат применения политик (RSOP) к компьютеру, для этого результат лучше всего вывести в файл: gpresult /scope computer /h файл.htm

Проверьте (например, командой ping) на сервере AD разрешение имен DNS для сайтов, которые находятся в интернете. Если оно не работает - настройте так, чтобы оно работало. Как именно настроить - завист от причины. Например, если запросы DNS наружу от сервера AD режутся у вас на маршрутизаторе - разрешите их: сервер DNS на сервере AD по умолчанию уже настроен на поиск в DNS, начиная с корневых серверов, и дальше в соответствиеи с делегированием, а чтобы этот поиск работал, нужно чтобы запросы проходили.
Если запросы DNS к посторонним серверам (кроме своего) режет провайдер - настройти на сервере DNS для AD в его свойствах безусловную пересылку на сервер DNS провайдера.

Я так понимаю у меня не находит сервис из-за задваивания "looch.local" в запросе.

Наоборот, запрос к имени с к нему дописанным суффиксом домена ("задваивание") происходит потому, что перед этим на запрос к самому имени клиенту приходит ответ, что имя не найдено.

Как я понял, у вас это 172.16.128.1 - это микротик? Если да, тогда подозреваю, что его адрес отдавается по DHCP клиентам в качестве второго сервера DNS, а на самом микротике условная пересылка запросов к домену AD DNS на контроллер домена AD (КД) не настроена. Так? Если так (это - распространенная ошибка), то либо уберите микротик из списка серверов DNS, либо настройте на нем нужную условную пересылку (если это возможно и если вы это умеете). Потому что клиент, в какой-то момент может переключиться на этот второй сервер DNS на микротике (например, при сбое при обращении к DNS на КД), а микротик ничего про ваш домен AD не знает - вот и получается эта ошибка.

Похоже, у вас, на самом деле, всё нормально.
Другое название папки на Win2012 - это след давней миграции репликации SYSVOL с FRS на DFSR.
Код ошибки 0x800706e4 при проверке сервера Win20212 c Win2019 означает "Запрошенная операция не поддерживаяется" - т.е. налицо некоторая несовместимость версий по диагностическим механизмам, этим можно пренебречь, а состояние Win2012 - проверить с него самого.
Не прошедший тест DFS Replications означает всего лишь то, что в журнале событий этой службы были ошибки и предупреждения. Посмотрите, какие были. Ошибки и предупреждения могут появляться и при нормальной работе репликации: например, при перезагрузке другого КД (ошибка потеря связи с ним) или при резервном копировании КД (предупреждение о заморозке записи в БД репликации в момент создания теневой копии системного тома).
Для того, чтобы упокоиться, можете выполнить опрос состояния репликации на КД через WMI (из командной строки в режиме администратора):

For /f %i IN ('dsquery server -o rdn') do @echo %i && @wmic /node:"%i" /namespace:\\root\microsoftdfs path dfsrreplicatedfolderinfo WHERE replicatedfoldername='SYSVOL share' get replicationgroupname,replicatedfoldername,state

Числа в state означают следующее:
0 = Uninitialized
1 = Initialized
2 = Initial Sync
3 = Auto Recovery
4 = Normal
5 = In Error

Коды ошибки показывают, что какая-то программа пытается подключиться к вашему компьютеру с него самого или, возможно, - с другого компьютера через какую-то выполняющуюся на вашем компьютерее программу, типа веб-сервера, через сеть с указанной (и не существующей) учетной записью.
Чтобы понять, какая программа на вашем компьютере это пытается, попробуйте включить ненадолго аудит процессов, чтобы получить сведения о програмах и поискать корреляцию.

Во-первых, вы сделали суперобласть, включающую обе эти области ("пулы", если по-вашему)?
Во вторых, если сделали, то проверьте MAC в записи аренды того адреса, который выдан: там иногда бывают чудеса - в виде дополнительных нулей, например.

Чтобы устранить: запустите консоль конфигурирования DCOM (например dcomcfng.exe), перейдите в раздел Component Services/My Computer/DCOM Config, найдите там это приложение по имени (это некий "Flight API Settings Broker") или по AppId из события и дайте нужное разрешение указанной в событии учетной записи.

Включите аудит неудачных попыток входа в систему (через групповую политику) и смотрите в журналах Security событий Windows на КД и на всех серверах, куда пользователи не могут получить доступ.
Предполагаемая причина, особенно, если у вас принята политика регулярной смены паролей для пользователей - устаревший запомненный пароль на устройствах пользователей. Обучите пользователей самостоятельно смотреть и удалять эти пароли.

С 2003 на 2019 домен AD напрямую мигрировать не получится: 2019 уже не поддерживает репликацию SYSVOL по протоколу FRS, а только по DFSR, а 2003 SYSVOL по DFSR реплицировать ещё не умеет. Придется вместо 2019 ставить пока 2016 максимум, заменять 2003 на них, а далее - как положено, мигрировать репликацию SYSVOL на DFSR (только аккуратно, по шагам, а не сразу в конечную стадию) , повышать уровень домена и леса до 2016 и заменять 2016 на 2019.

Кроме встроенного брандмауэра (который по умолчанию занимается локальным трафиком) в Windows в RRAS есть фильтры пакетов. Это - более примитивный инструмент: они могут только блокировать или пропускать весь трафик кроме указанного в списке исключений, они настраивается для конкретного интерфейса, они работают только в одну сторону (для входящего и исходящего трафика фильтры отдельные), они не отслеживает сессии (но есть возможность избирательного блокирования пакетов подключения по TCP). Но, думаю, для решения вашей задачи фильтров хватит.
Доступ к настройке фильтров находится в свойствах каждого интерфейса в узле General для протоколов IP (v4 и v6).
В вашем случае можно на интерфейсе каждой сети в настройках входящего фильтра следует указать, что надо пропускать весь трафик, кроме трафика, направленного в другую сеть (указать в исключениях адрес и маску этой сети).