Reorganizar Active directory

Hola que tal, espero me puedan ayudar; tengo varios servidores en
diferentes
sucursales(3) lamentablemente no puedo conectarlas en red las tres
(problemas
de presupuesto aunque pienso hacer VPN de Microsoft pero tengo algunas
dudas
y ademas los servidores no estan bien organizados y estoy tratando de
poner
la seguridad primero como firewall y proxys en cada sucursal) y por lo
tanto
los servidores funcionan como controladores de dominio, quiero implantar o
reordenar el Active Directory en todos los servidores para poder hacer
GPOs
pero los usuairos estan en la seccion de Usuairos en el directorio, puedo
crear unidades organizativas para empezar a dividir a los usuarios y poder
crear las GPOs para tenerlos mas controlados, dar derechos y
restringirlos?;
tambien pienso en un futuro no lejano conectarlos entre si por VPN, puedo
poner un solo servidor (el de la matriz) como controlador de dominio para
que
los usuairos se autentifiquen en un solo DC y usar los servidores de cada
localidad para otras cosas? que es lo que necesito para lograr eso, es
necesario tener un servidor o licencias de Terminal Service o solo por la
VPN?, como afecta que en una sucursal tenga un Win NT como DC y no el
Win2003? esta mal que tenga en cada sucursal un DC? anteriormente no se
administraban bien las sucursales solo se les daba de alta a los usuarios
para ingresar a la red y ya,pero tenian acceso a todo; mis equipos son los
siguientes:
1- Oficina Matriz
Controlador de Dominio WinNT 4.0 SP6
Servidor de datos con Win2003 Srv. SP1
18 clientes con WinXP Pro SP2

2- Sucursal 1
Controlador de Dominio Win2000 Srv SP4
10 clintes con Win98SE

3- Sucursal 2
Controlador de Dominio Win2003 Srv SP1
5 clientes con Win XP Pro SP2


Gracias de antemano por su ayuda