Also ich habe das so gelöst, dass der Windows-Server nicht direkt am Internet hängt, sondern noch ein kleiner Server (z.B. einer von denen hier) mit OPNsense davor steht. Für die Kommunikation zwischen den zwei Servern verwende ich einfach das vLAN Free.
Für RDP muss ich mich erstmal mit WireGuard zur OPNsense verbinden.
Du könntest WireGuard dann entweder auf dem Windows-Server oder – finde ich persönlich besser – auf der OPNsense einrichten.
Auch wenn du keinen extra Server davor stellen möchtest (was aber durchaus mehr Sicherheit bringt und viele hier im Forum beruhigen wird), würde ich dir WireGuard empfehlen. Ist sehr einfach einzurichten und aktuell State-of-the-Art.
Halbwegs moderne Fritzboxen können übrigens auch WireGuard. Du könntest damit dann die Verbindung zu deinem Server herstellen und so könnten alle Geräte in deinem Netzwerk ohne eigene VPN-Verbindung auf deinen Windows-Server zugreifen.
Ich habe außerdem ein paar Mal hier im Forum gelesen, dass es mit der Lizenzierung von Windows hier bei netcup schwierig wird. Wollte ich nicht unerwähnt lassen.