Necesito Consejo Seguridad Informática

He entrado en una nueva empresa y me he encontrado el siguiente esquema de
red ( actual.jpg ). Según he visto, existe un alto riesgo de inseguridad
como podeis ver, y no sé como hacerlo. Lo primero que se me ha ocurrido es
hacer un DMZ y dejar en esa DMZ solamente el Exchange Server y el VPN. Los
pasos a seguir serian los siguientes:



1.- El Member Server que hace de VPN de ISA a ISA con otro
compañía, dejarle tal y como está, ya que creo que es el que menos peligro
tiene ( este server también lo usa la compañía para salir a Internet
mediante los clientes de ISA ). Cambiarle la IP a 172.30.x.x



2.- El DomainA-ext que desaparezca y degradar el servidor DC de Exchange
2000 a un Member Server y cambiarle la IP interna a por ejemplo 172.30.x.x.
No sé si se podrá convertir a Member Server ya que creo que el Exchange 2000
tira de Directorio Activo..



Quedaría así ( futuro.jpg )





Otro problema que no sé como solucionarlo es el siguiente. Ahora mismo, si
quiero dar de alta un usuario en el DomainA-ext le doy y se me crea el buzón
correctamente, pero también debo de darle de alta en el DomainA-int para que
pueda recibir el correo sin problema, lo que no me gusta es tener en un
servidor público los usuarios con sus password igual que en el dominio
interno, ya que estoy exponiendo mi dominio interno al exterior, como pùedo
solucionar esto??