Мысль такая: берём у провайдера IPv6, у того, кто хочет подключаться без VPN, тоже ставится IPv6 (хорошо, если у него оператор МТС, иначе без VPN не обойтись), и он подключается к хосту с Exchange или какими-то другими локальными сервисами. Для ограничения доступа можно перед хостом поставить firewall, блокирующий подключения к Exchange. Перед подключением клиент выполняет какое-то действие, требующее аутентификации (например, обращается по HTTPS ссылке с указанным сертификатом или логином и паролем, или заходит по SSH с определённым ключом, просто заходит, не вводит какую-то команду), можно и port knocking'ом просто обратиться, (хотя это уже не так безопасно, если кто-то может просмотреть трафик клиента), и по этому действию с адреса клиента на определённое время разрешается доступ к сервисам.
Хотя можно и просто порты пробросить, и не использовать IPv6, с контролем по такому же принципу (по умолчанию доступ закрыт, по какому-то действию с аутентификацией на определённое время с адреса клиента открывается). Без IPv6 возможна ситуация, что у клиента shared IP, и кто-то ещё с этого же IP зайдёт, но это маловероятно.
