Что делать при увольнении системного администратора?
В первую очередь — выплатить все положенные суммы и не пытаться что-то зажать, пусть даже и человек работал хреново. То есть, как можно более мирно расстаться. Нормальный админ после этого просто не будет пакостить, а ненормального это задержит хотя бы на пару деньков, а вы за это время и пароли смените, и правилам на файрволле ревизию сделаете. Самые клинические случаи, конечно, исключение, и тут вам самим решать.
Если уж говорить о способах пакости и доступа к ресурсам сети, то Вам придётся проштудировать буквально ВСЁ. Т.к. VPN клиенты или любой другой способ backconnect'а, даже с клиентской машины, даст админу доступ во внутрь сети, а дальше уже всё намного проще для него…
Собственно, базовые принципы Вы описали еще в вопросе, а дальше рекомендую не накалять отношения. Т.к. по факту, реально защитится от злого уволенного админа выльется вашей фирме в кругленную сумму.