Depende del router que poseas puedes configurar esa opcion, incluso algunos ISP permiten personalizar lo mismo desde la plataforma que ofrezcan. Caso contrario tendrias que o bien habilitar maquina por maquina los permisos o usando un proxy o firewall para la salida.

Entonces esta mas que claro que si otros elementos dentro de la red LAN vieron afectados los servicios, y si en el router de borde tampoco aparecen logs, entonces el problema esta aislado al servidor.

Estoy de acuerdo, me parece que problema de malware no es, mas parece que por tanto software pueden aparecer falsos positivos. Puede ser o el firewall o el antivirus que estan bloqueando procesos de ejecucion del sistema.

Por ahora se puede implementar asi, yo pense que lo de la VPN iba a hacer el principal no solo por la conectividad entre los dos sitios si no por la salida a internet, pero si el enlace va a hacer solo MPLS entonces si se puede hacer asi.

Osea supongo que si se descarto el ISP es porque o 1) Hay otros equipos en la red LAN que conectan al mismo router de salida a internet y no vieron afectado el servicio a esa hora o 2) El ISP informa que dentro de su red no hubo novedades de alguna caida que hubiese tenido lugar durante 10 minutos en la fecha informada. Si es así, entonces claramente el problema se aisla en el servidor. Sin embargo quedo una pregunta sin responder, el router de frontera con la salida a internet, tuvo algun log o evento relacionado? Se cayo alguna interface o vlan asignada al servidor?. Si el servidor se cayo el CACTI hubiese mostrado en la grafica la caída no?

Insisto, te refieres a esto:

   Connection-specific DNS Suffix  . :
   Link-local IPv6 Address . . . . . :
   IPv4 Address. . . . . . . . . . . : 192.168.x.x
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.168.x.x ---------------> Usas esta direccion para acceder al modem?

1) No importa donde este el servidor, se puede hacer la validacion L2TP
2) El radioenlace es el backup ya que una vez se tengan las dos direcciones publicas por parte de un proveedor se monta la VPN y ese es el principal, en caso de caida el radioenlace pasa a ser el principal.
3) OSPF es necesario para cuando se caiga un enlace pase al otro. Lo de las VLANS es para tener un orden en la subnet asignada para cada sitio en el switch, luego el router encapsula lo que recibe del switch y lo saca hacia la WAN.

Despues de hacer el escaneo en los espacios de la izquierda se marcan las entradas y abajo se le da "FIX"

Resumiendo un poco, cada router del sitio va a tener su salida WAN independiente, y a su vez quieres cerrar el anillo
poniendo un radio enlace para que en una eventual caida de alguna de las WAN el servicio quede funcionando. Si es asi,
lo de "derivar los servicios" no tiene problema ya que si cada LAN tiene su wan no se va a ver afectado, lo que asignas
son VLANS en cada switch para identificar la red con su edificio. Lo del costo OSPF se configura en el router, a menor costo
mayor prioridad y a mayor costo menos prioridad, entonces, si alguna de las WAN cae, inmediatamente con OSPF el trafico
pasa al enlace de menor prioridad (en este caso el radio enlace), y como te dije antes el cifrado L2TP lo haces contra el servidor
que seria el ubicado en MT y tambien el que tiene el ancho de banda mas robusto.