RDP через проброшенный порт или VPN, что опаснее?
Для защиты от внешних атак на сервер конечно лучше поднять VPN, он станет дополнительной линией обороны. Злоумышленнику придется сначала прорваться через него, и потом уже атаковать сервер. Подразумевается, что через VPN доступен будет сервер и только он, иначе в случае взлома VPN опасности подвергнется вся локальная сеть. 
Я так понимаю, у вас стоит задача обезопасить сервер в первую очередь от атаки со стороны пользователей, а при подключении в VPN сервер им станет доступен всеми открытыми на нем портами и запущенными сервисами? 
Тогда можно защищать сервер файерволлом. А еще можно дополнительно защитить его "внутренним" шлюзом, и там уже пробросить порт RDP. Таким образом: пользователи сначала подключаются шлюзу по VPN, им становится доступен внутренний шлюз, на котором проброшен RDP порт от сервера.
Вирус-шифровальщик так все равно не победить, пользователь может запустить его непосредственно на терминале. И зашифрует свои файлы. От этого бекапы помогут в первую очередь, на антивирус полностью полагаться в данном случае не стоит.
Вам нужно решить для себя, от каких угроз вы собираетесь защищаться. От внешних, внутренних или от всех.
Если от внешних - то однозначно вам нужно настраивать VPN. Да и при любом раскладе этот способ безопаснее.
Если от внутренних, то тут нужно включать параноика.
Если человек из-вне, через VPN ходит на RDP сервер, то значит никуда больше ему ходить не должно. Запрещайте все остальное. Файрвол вам в руки и антивирус на каждую машину.
Но нужно понимать, что любое подключение из вне, каким бы они не было - потенциальная дыра. И ее нужно защищать любыми способами. 
Так же нужно ограничивать серверы для внешних подключений. Так как эти серверы тоже считаются не безопасными. А значит в ДМЗ их и запретить им все по максимуму