Atualizei as configurações do meu servidor no aplicativo do servidor > Acesso > Compartilhamento de tela > Todas as redes
(Por alguma razão, o acesso foi limitado apenas a redes privadas!)
Agora posso me conectar ao Compartilhamento de tela remotamente.
A porta de autenticação do Kebero (TCP 88) não precisa estar aberta na minha configuração. Apenas o TCP 5900. (Na questão há um erro no número da porta do Keberos.)
Resposta @gregg ajudou a juntar as coisas e com um scanner de porta on-line (pesquisa na Web > escanear minhas portas) descobri que o TCP5900 estava bloqueado (pelo próprio servidor) apesar de estar aberto no roteador.