[skeletor]

Необязательно подымать второй контроллер домена (синхронизация может немного забивать канал в зависимости от размера AD). А вот VPN для этих целей - обязательно.