От читаю что вынесли роутер, а значит они будут срывать пароли и искать где удаленка(если не найдут на муляжах).  Один вариант роутер юзать циско, и не применять конфиг, после ребута перейдет в дефолтный вариант

ха, свет моргнул - прощай конфиг

Так и для этих целей делалось

А конфиг дефолтный с доступом из вне, что бы загрузить ещё раз конфиг и опять не сохранять

ух, коварный план
а ещё на микроте сделать впн клиент и когда он его врубят - он цепанётся на сервер и прилетит алерт xd
бэкдор во внутрянку СБУ  xd

Не много не правильная задача.
1. Чём поможет ltsp в облаке, если вынесут технику в офисе 15-20 машин? Прийдется обратно закупать, что бы запустить
2. Это будет не комфортная работа. Много факторов когда что то отвалиться
3. По цене не целесообразно
-----
Как вариант
1. Ltsp запускайть, с толстыми клиентами(64гб, зашифровать)
Забрали винт, обратно вставил другой диск(образ). Если они хранят данные-то бекапы онлайн лучше гоняй.
2. Если используют виндовые приложение (то сделай в облаке терминальный сервер 2012r2 без ад взлетает)
3. Построй туннель
Офис(ltspшифрованый)-тунель (awsшифрованый)-тунель (azureа тут пох)

-пока они цепочку пройдут, то в другом месте поднимешь

@beerbunny
Ещё раз вчитайся(и это всё можно поднять в другом офисе за час, с перекура и и кофе)