Максим Гришин

Легально только для Винсервер

Фактически - можно с помощью rdpWrapper активировать мультилогин на обычной винде.
Программы общие

Арендовать машину
развернуть винду
настроить AD как обычно
мучиться с лицензиями
мучиться с тем что AD висит где то в инете, а не в локалке

AD Должна быть в локальной сети, но либо через ВПН. Хотя бы потому, что выносить винду голой попой в инет это неправильно

Вроде нельзя волюмы на горячую менять.
Как вариант - запусти новый контейнер из того же самого образа с новым маппингом и останови старый.

Русским по белому - эта сеть блокирует DoH и всякие другие выверты сознания, предназаченные для обхода аноскопии со стороны РКН. Также она может блокировать публичные DNS. В общем, как всегда, лень человеческая.

РКН решил контролировать трафик
Но оказалось что нужно дох.. ресурсов
РКН решил контролировать только DNS
Но нашлись люди, которые подняли сервера DNS-over-HTTPS и общедоступные DNS
РКН решил заблокировать DoH и общедоступные сервера DNS
-- вы находитесь здесь---
...

iproute2 умеет работать с маркированным через iptables трафиком.
Маркируете трафик в таблице PREROUTING через iptables -j MARK --set-mark как вам нужно, потом подхватываете его iproute2 и маршрутизируете, как вам нужно.

Сначала стоит посчитать - какой ширины канал потребуется, чтобы на пике обеспечить одновременно всех возможностью передачи таких файлов.
Потом покачать головой и урезать хотелки. И снова посчитать.
И снова покачать головой и урезать. И снова посчитать.
...
И так до тех пор, пока не придете к реальности, которая есть весьма суровая штука. Или я что-то не понял, и 10 тыс. чел. - это не одновременное количество юзеров, а вообще их количество (для расчета стора, например)? Тогда нужно задаться количеством одновременных подключений - и все равно посчитать требуемую ширину канала. Потому что в первую очередь упрется все в это (если конечно это не сервер для обмена данными внутри офиса :) )

Нужно правильно настроить Firewall

Вам нужно найти коллизию SHA1. Или воспользоваться коллизией, которую кто-то уже нашёл: https://shattered.it/static/shattered.pdf

Есть такая штука usb over ethernet, она вполне решает вашу задачу. Но как указали в комментарии формально это компрометация одного из факторов аутентификации, хотя токен валяющиеся в бухгалтерии и доступный каждому проходящему мимо вероятно не лучше.
Вопрос зачем в таком сценарии токен вообще и почему не поставить сертификат локально на компьютер?

Есть штатный элемент, vfs.file.exists
Можно просто проверять наличие какого-либо файла в шаре.

Тогда почему 2008 R2? Качайте бесплатный Windows Server Hyper-V и ставьте туда.

Зачем костылить, если есть специально предназначенный для этого пакет iptables-persistent?