res2001

Объединить все лицензии в одном сервере лицензирования.

VPN подключается локальным администратором?
Если да, то скорее всего при подключении нового пользователя предыдущего просто выкидывает и соответственно все что было запущено локальным админом завершается, в т.ч. и VPN соединение рвется.
Для решения проблемы нужно VPN подключение перевести в какой-то автономный режим, чтоб не нужно было держать залогиненного пользователя для его работы.

Еще как вариант - видимо у вас не сервере не лицензированы службы RDS, а в таком режиме Win Server позволяет одновременно работать максимум 2 пользователям, если не ошибаюсь. Возможно у вас висят отключенные сеансы двух админов, при очередном логине один из сеансов убивается с соответствующими последствиями.
В этом случае нужно контролировать подключенных пользователей, если сеанс не нужен то производить "выход", а не отключение. Настроить для всех пользователей, кроме того под которым подключается VPN автоматический выход при неактивности.
Либо лицензировать службы терминалов на большее количество пользователей.

Причина скорее всего в том что диск/каталог где лежит профиль пользователя не доступен или нет прав. Еще как вариант - в профиле сломался реестр пользователя, но в этом случае винда обычно пытается его починить.
Посмотреть где лежат локальные профили пользователей можно тут:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList\ProfilesDirectory
Обычно это c:\Users, но могут быть и другие варианты. Права на этот каталог должны быть стандартные - конкретно можно посмотреть на любой нормально работающей машине.
В ветке реестра HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList найдите подраздел с SIDом проблемного пользователя (так же нужный SID можно определить по параметру ProfileImagePath в котором находится полный путь до профиля пользователя).
Далее по параметру ProfileImagePath смотрите доступен ли профиль, есть ли у пользователя права на этот каталог.
Если с виду все нормально, то удалите каталог с профилем пользователя, указанный в его ProfileImagePath (так же можно переименовать, если он вам дорог), а так же удалите целиком раздел с SIDом пользователя из HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList.
Этими действиями вы полностью удалите профиль и винда при следующем входе пользователя начнет создавать профиль заново.

Т.к. у вас доменный пользователь, то в политиках домена может быть указано другое расположение пользовательского профиля, например в сети. Тогда нужно убедиться, что есть доступ к сетевому серверу, содержащему профиль пользователя. Действия в принципе все те же самые, только расположение профиля будет в сети.

при открытии "Сохранить как..." будет отображаться ФС удалённой машины, или локальной?

Удаленная ФС отображаться будет, локальная - если на клиенте включено перенаправление дисков.
На удаленном сервере урежьте права до пользовательских. На сервере не храните никакой ценной информации - пусть все получает с других серверов в сети в соответствии со своими правами, а терминальный сервер только для удаленного доступа.
Доступ к приложениям ограничивается, если развернута АД. Без АД - доступны все приложения, но можно:
1.не настраивать Web доступ к приложениям, чтоб пользователи не могли увидеть полный список опубликованных приложений;
2.Настраивать приложения на клиенте в ручную (через rdp или msi файлы).
Тогда фактически у клиента будет только то приложение, которое вы ему настроите.
Он, конечно, может сам получить доступ к другим приложениям, но для этого необходимо иметь кое-какие навыки в администрировании. У пользователей, имхо, таких навыков быть не должно, иначе нужно их приглашать в ИТ отдел работать.

Если пароли известны, то подготавливаете текстовый файл формата:
TAB
И с помощью простейшего батника, использующего команду net user /add создаете новых пользователей.
Получить список пользователей можно командой:
wmic useraccount get name
Если пароли не известны, то как вариант заводить пользователей по той же схеме, с одинаковым предустановленным паролем. Или подбирать пароли какой-либо утилитой предназначенной для этого.