VPN Verbindung unabhängig Anmeldung

wir haben bei uns eine kleine Herausforderung. Wir haben eine zertifikatsbasierte Anmeldung um von Außen in unser netz zu kommen. Die Mitarbeiter haben dafür eine VM Maschine auf ihrem privaten PC, welche sich dann über DSL verbinden. Das sie sich vor der Domänenmeldung über DFÜ authentifizieren können ist klar, aunser problem liegt am Ende.
Der User verwendet beim Arbeiten seinen normalen ADS Usernamen. Sprich Servergespeicherte Profile!
Beim Abmelden wird der VPN Kanal geschlossen noch bevor das Profil zurückgeschrieben ist.
Ich würde gern mal wissen ob eine der folgenden Optionen möglich wäre.

1. In den GPOs einstellen, dass sich User über VPN nicht das Server profil ziehen sondern nur ein Lokales verwenden
2. der VPN Kanal unabhängig der Anmeldung aufgebaut wird (die Verbindung als Dienst noch vor dem Anmeldebildschirm?)
3. Verhindern das nach der Abmeldung der VPn kanal geschlossen wird, sondern erst beim Herunterfahren

Vielen Dank schonmal für eure Antworten