RDP подключение минуя vpn?

Прописать статический маршрут через локальную сеть до нужного узла с более высокой метрикой, чем маршруты VPN.

Число метрики должно быть меньше, а не больше, но если маршрут будет более "узкий, то метрика не важна.

Как правильно бэкапить в этом случае?

Подход у него как раз верный, бэкапируемая система не должна иметь доступ к бэкапам. Иначе если будет шифровальщик, то он зашифрует и исходную систему и бэкап.