Concordo com os outros pôsteres que dizem que você precisa de uma solução de camada de rede, mas discordo do conselho de usar um cliente VPN. Isso adiciona complexidade e, se você estiver procurando os clientes na rede não confiável para aplicar a diretiva de grupo durante a inicialização, provavelmente não será possível com um cliente VPN.
A junção de domínio (e autenticação, em geral) seria a menor das minhas preocupações ao operar clientes em uma rede não confiável. Eu estaria muito mais preocupado com o tráfego de texto simples para seus servidores de arquivos, servidores de aplicativos, etc. A criptografia e a autenticação da camada de rede estão em ordem, na minha opinião.
O IPSEC é o que você está procurando aqui. Implantar uma diretiva IPSEC em seus computadores do controlador de domínio que exigem comunicação IPSEC para as sub-redes onde os clientes não confiáveis estão localizados (idealmente, também se aplica aos computadores servidores membros com os quais os clientes também estarão se comunicando) é a primeira etapa.
O segundo passo é usar o protocolo AuthIP para unir os clientes ao domínio com segurança. O AuthIP permite que os clientes estabeleçam conectividade IPSEC com o controlador de domínio durante o processo de associação de domínio. O AuthIP é, infelizmente, bastante mal documentado pela Microsoft. Ele está no Windows Server e nos produtos clientes desde o Windows Vista.
Outra opção pode ser uma VPN do DirectAccess (que funciona "de forma transparente" e não requer execução um programa cliente) juntamente com ingresso no domínio offline para inicializar os clientes no domínio e obtê-los usando o DirectAccess. O DirectAccess é baseado em IPSEC (IPv6 encapsulado em uma rede IPv4 ou IPv6 não confiável para sua LAN confiável), portanto, você também obtém criptografia e autenticação de camada de rede usando esse método.