Туннелирование поможет в этом сценарии?

это возможно, хотя то, что Ваша вся инфраструктура выставляется общедоступному Интернету, является более, чем немного пугающим.

Если бы я был в этой ситуации, то я копировал бы требуемые зоны своего ADI в локально управляемый (т.е. мой) поля BIND, и затем настраивать представления, чтобы только предоставить назначенный ведомым устройством доступ зон ADI от Вашего "известного" IP пространства. Приводя готовность бизнеса к сбою поднять очень умеренные инвестиции для нескольких дополнительных серверов BIND, я зарегистрировал бы ад из своих попыток убедить управление, как плохое представление Вашей AD инфраструктуры к Интернету, и подготовьте мое резюме. Поскольку это идет во вниз в большом, пламенном уничтожении...