Можно ли и как управлять группой win-машин не включая их в домен?
Я конечно, не совсем в тему, но посмотрите в сторону микротика. Там несколько другие суммы получаются для организации VPN.

RB1100 AH x2 меньше тысячи долларов — спокойно тянет 80 клиентов, еще и кучу других задач выполняет при постоянной загрузке интерфейсов на 200-300 МБит/с.
RB750 отлично справляется с ролью VPN-клиента для офиса в 10-50 компьютеров. Стоит около 100 долларов.

В вашей ситуации еще можно попробовать поиграть с доменом на базе Samba 4, там вроде есть поддержка механизмов групповых политик. Я думаю, это будет ненамного больший геморрой, чем управлять компьютерами вообще без домена.
-удалено-