younghacker

Я бы копал в сторону отладки и логов.
Из вашего поста не ясно что используется в качестве dhcpd и dns сервера dnsmasq/odhcpd+named
Также неясно когда падает и падает ли демон: в момент старта с большим пулом статических хостов или при подсоединении более чем 22-го клиента.
strace тоже может что-то подскажет.
Выделена ли сеть достаточной ёмкости? Может там /30. Не пересекаются ли динамические адреса со статическими и динамика "наезжает" на статику.
Явно где-то расконфигурация либо глюк в демоне.
Хватает ли памяти? Не сбойная ли память.

Важно чтобы на сервере был статический адрес. Либо нужно будет прикручивать какой-то домен и настраивать DynDNS.
На машине которая будет сервером программы ENERGO запустите OpenVPN в режиме сервера.
Затем откройте на модеме/роутере за которым находится этот сервер portforwarding для UDP порта скажем 12129 и пробросьте его на внутренний IP адрес сервера на порт который слушает OpenVPN сервер. Другие порты прокидывать не нужно. DMZ тоже не стоит активировать чтобы не подставлять вашу XP.

На всех клиентах которым нужно соединяться с программой ENERGO запустите OpenVPN в режиме клиента. Внеший IP используйте тот за которым стоит OpenVPN сервер.

OpenVPN для Windows инсталируется просто.
Не нужно ставить OpenVPN GUI. После установки откройте mmc останстку "службы" и найдите там OpenVPN service. Установите автоматический запуск.
После того как положите конфиги сервера и клиентов в их каталоги запустите сервис OpenVPN. Затем проверьте что появились необходимые интерфейсы и маршруты.
ipconfig
route print
После этого каждый клиент сможет достучаться до сервера.
Ваша серверная программа ENERGO должна слушать все интерфейсы в том числе TUN который создаст VPN сервер. Перезапустите её если она не слушает.
Cтяните бесплатную утилиту sysinternals TCPView чтобы посмотреть процессы и открытые ими порты.

Если Вы будете поднимать сервер и клиен на конечных машинах тоесть именно на них будет запущен сервер ENERGO и клиенты то с маршрутизацией вам не нужно заморачиваться. Достаточно убедиться чтобы приватная сеть выделяемая для OpenVPN не конфликтовала с вашими другими сетями. Например 172.16.23.0/26 это сеть на 62 адреса в диапазоне который далёк от обоих ваших диапазонов. Сервер в этом случае будет находиться на адресе 172.16.23.1.
В серверном конфиге для этого нужно использовать такую строку:
server 172.16.23.0 255.255.255.192
В остальном всё просто.
Если будут вопросы — спрашивайте.

PS.
Если в офисе клиентов будет больше 3-5 тогда я бы рекомендовал ставить с их стороны VPN роутер, например как рекомендовал Gring76. В таких случаях я предпочитаю прошивать Mikrotik или TPLink в OpenWRT. (в Микротике ущербная реализация OpenVPN)

PPS. Если будут тормоза (непонятно сколько трафика гоняет программа) смотрите в сторону Remote Desktop Services. Тоесть поднять терминальный сервер у себя в офисе, или у ближайшего отзывчивого хостера на VDS где установлена Windows.

Конкретика:
на сервере:
--------------------------------------------------------
# netstat -nlp -A inet
и проверяем что слушает сервер vnc (адрес и порт). (0.0.0.0 5900)

# iptables -nvL
и проверяем то что открыты порты 5900
-A INPUT -m state --state NEW -m tcp -p tcp --dport 5900 -j ACCEPT

SELinux
$ getenforce
Permissive
если стоит Enforced то на время проверки сделать
# setenforce 0

на клиенте
--------------------------------------------------------
$ vncviewer 172.16.82.242:0

:0 означает индекс порта который слушает сервер относительно стандартного 5900
:1 - 5901

Если после этого не будет работать тогда будем ковырять дальше.

Вам верно написали про политики ограничения запуска программ (Software Restriction Policy или SRP / App Locker). Попробую немного прояснить суть решения проблемы.

Главное что нужно сделать это при помощи NTFS ACL заблокировать пользователям возможность запускать программы отовсюду куда они могут записать файлы и при помощи SRP ограничить операционке права запускать программы только каталогами каталогами в которые пользователи не могут писать. В общем случае должно быть разрешено запускать программы только из Program Files и Windows, но запрещено запускать из systemdrive:\Windows\tmp и systemdrive:\Windows\blablabla\spooler

Для этого нужно понимать, что такое права NTFS их наследование. Все диски в системе на которых есть программы которые можно запускать программы — сделать NTFS. Лучше всего всегда чтобы запускаемые программы были только в Program Files при этом пользователи этих программ никогда не должны иметь прав записи в системные каталоги.

Любые манипуляции с NTFS и ACL должен проводить человек который понимает что делает!

Затем:

1. изменить права на диски таким образом чтобы гость, да и вообще пользователи не могли создавать каталоги и файлы. Единственное обязательное разрешение папки с профилями пользователей и временные папки Windows включая "принтерный спулер". Главный запрет папка с Program Files (незачем туда писать ни пользователям ни пользователям удалённого рабочего стола ни инсталяторам. Всёравно ставить программы и обновления будем от учётки админа)
   
2. снять к права пользователей c папки Program Files. Не запретить, а именно снять! (запретом можно случайно сломать доступ и админам) Пользователям можно оставить только Читать каталоги и подкаталоги но не файлы! Traverse folders
   
3. после этого включите политику ограничения программ или App Locker и проверьте что пути откуда допускается запуск программ не допускают пользователям записывать данные. Для пущего запрета можете добавить блокировку запуска из некоторых каталогов в Program Files но очень осторожно! Можно повредить систему так что потом и системы и у админа будут проблемы.
   
4. проверьте и добавьте ограничение запуска из временных папкок Windows и spooler Windows. Они обычно находятся в папке Windows, а на неё включено разрешение запуска программ (иначе система не стартанёт).
   
5. после этого разрешите в Program Files пользователям запускать программы только из папки Google Chrome хотя я рекомендую Mozilla Firefox
   
6. также рекомендую снять право пользователей запускать Internet Explorer (некоторые программы Microsoft умеют обходить SRP)
   

Теперь при установке программ от учётной записи администратора нужно будет отключать SRP и ставить программу или обновление, затем включать SPR.

Несколько замечаний.
SRP и/или AppLocker есть не во всех дистрибутивах Windows. Понятно, что MS это машина по зарабатыванию денег. Но SRP напрямую затрагивает основу основ компьютерной безопасности операционных систем Windows и для меня выглядит не совсем логичным добавить UAC но не дать возможность защищать систему при помощи SRP на самой дешёвой OEM Windows системе. До появления SRP я пользовался замечательной программой TrustNoExe. Она бесплатна ставится в виде сервиса имеет белые и чёрные списки. На новых дистрибутивах Windows я её не испытывал, но она могла бы закрыть брешь в безопасности Windows где есть NTFS но нет SRP.

SRP это не панацея. К сожалению программы умеющие исполнять скрипты например Word, Excel и т д можно использовать для инжекции постороннего исполняемого кода, а значит можно пытаться поднять привилегии используя известные и не очень уязвимости.

Дополнительные рекомендации:
При установке всяких программ типа Google Chrome, Mozilla Firefox, Skype, FoxItReader и т д (их количество будет продолжать расти). следить чтобы они не наставили своих сервисов. С появлением UAC в Windows, всем есть дело и все явно (есть птичка отказаться) или подло (нет выбора) ставят такие сервисы. Если программа ставит такой сервис — удалить его sc delete имя_сервиса. Назначение этих сервисов — скрытая установка своих программ. Отвратительные побочные явления — внезапная поломка системы после неудачного обвноления (включая обновления Windows) У нас был случай когда на клиентских серверах Win2008 после автоматического обновления тотально (у большого числа клиентов) перестал работать терминальный сервер, в результате чего пришлось удалять часть обновлений и ставить другие. После этогого все автообновления были отключены и заблокированы. Нехотите таких сюрпризов — пресекайте все попытки программ установить свои сервисы. Есть программы которые после своей установки хамским образом меняют NTFS acl таким образом что разрешают писать всем в каталог этой программы в Program Files — это сведёт к нулю все ваши старания ограничить запуск программ. Избавляйтесь от таких программ используйте нормальные которые не пишут в Program Files.

Кроме этого такой подход позволит вам отказаться от антивирусов если не будете бездумно ставить всякий неизвестный и даже известный софт.

Разберитесь с RAID. Если хотите соединить 10 дисков в ленту то это сразу смерть. Сбой одного диска приводит к смерти всего рейда. А вероятность сбоя вырастает с ростом количества дисков. Рекомендую RAID 10. 5 зеркал по 2 диска. Но тогда получите результирующий размер в 2 раза меньше чем суммарная ёмкость дисков.

Совет: Чтобы дать клиентам больше места поставьте 4 диска SAS 1-2TB и остальные 6 SSD. И давайте в гостевые виртуалки по 2 диска один с SAS RAID второй диск с SSD.

Глянул на размер вашего SSD и заметил что он имеет размер 480 вместо ожидаемых мной 400 гигабайт. Осторожно c использованием SSD на серверах. IOPs-ы убивают диск. Ресурс записи ограничен. Берите только диски из линейки datacenter. Дорого но необходимо. Например Intel DC-S3700

Если речь идёт о нагруженном сервере, я бы рекомендовал ставить аппаратный RAID контроллер минимум с 1гигом кеша. Ну и с батарейкой-конденсатором.

Корпус 1U на 10 дисков с горячей заменой не проблема. Например Supermicro SC116.

В остальном, извините за тавталогию, PrAW — прав.
1) сколько гости будут хотеть дисков (помните про backup и ребилд рейда)
2) сколько сети (помните про служебный трафик например backup)
3) сколько процессора (помните что процессор понадобится и для обслуживания пакетов через сетевые интерфейсы)
Это те самые узкие места, а не память.

Живой пример для mydomain.com (домен выдуман):

ldapsearch -xLLL -D "uid=nss,ou=People,dc=mydomain,dc=com" -w `</etc/1sEcretNfOlder/ldap.secret` -H  ldap://ldap-master.mydomain.com/ -Z -b "dc=mydomain,dc=com" "*" "+" | sed -e ':a;N;$!ba;s/\n //g'

Тут лежит пароль к LDAP /etc/1sEcretNfOlder/ldap.secret
Атрибуты на файл с паролем нужно поставить так чтобы кроме пользователя от которого запущен скрипт никто не прочитал его. Да и паролю дать право только читать LDAP.

sed удаляет переводы строки перед строками начинающимися с пробела чтобы потом из файла можно было в скрипте парсить нужные данные. В моих версиях ldapsearch эта проблема не решается ключами.