...
3. если я назвал виндовый сервер, значит, он нужен. на нем будет AD и еще кое-какие виндовые дела.
Если будет AD, то imho правильно настраивать разрешения, используя его. Я бы сделал так: windows-сервер с двумя сетевыми картами, в первую включен ADSL-маршрутизатор, во вторую (гигабитную) - 100-мегабитный коммутатор с одним гигабитным портом, подключенным к серверу. Количество портов коммутатора выбрать с запасом на рост сети (витую пару тоже с запасом проложить). ADSL-роутер лучше выбрать рекомендуемый производителями для офисов (например, поддержка SNMP пригодится для организации мониторинга сети).
Управление доступом к ресурсам - через AD.
Удачи!