VPN и AD на разных серверах

[remix]

Имеется два Win сервера 2012 R2.
1. Контроллер домена, там AD
2. Типа как интернет-шлюз, там TrafficInspector

Встал вопрос настройки VPN. Чисто теоритически рассуждая, понятно, что сам сервер VPN, нужно поднимать на второй машине, где внешний и внутренний интерфейсы. Но вот сама AD с DHCP и всем остальным на первой.
Такая схема может иметь место? Если AD не на машине, где поднят VPN?

[shs]

Это даже лучше, чем если бы AD был на машине с VPN

[remix]

смущает один момент. подскажите пожалуйста, при настройке, когда на интерфейсах задаём NAT и пул ip-адресов для VPN, он сообразит куда ему рулить в сторону AD или это где то настраивается дополнительно?
иными словами, до AD пользователи по такой схеме достучатся без проблем?