[El Scorpio]

Задача спрятать винсервера от интернета. Не знаю, кстати, есть ли в этом смысл. »

По большому счёту - никакого.
Во-первых, они уже "спрятаны" от интернета, потому что "снаружи" через роутер невозможно достучаться ни до какого компьютера внутри сети. А защита от нежелательных исходящих подключений обеспечивается антивирусом, который выявляет и глушит всяких "троянов", и грамотной политикой полномочий пользователей, чтобы те не могли устанавливать всякую ерунду на свои рабочие места.

А подключать сервера к роутеру боюсь. »

Зря боитесь. Смысла "защищать только сервера" нет никакого.
Злому хакеру для доступа к "изолированному" серверу достаточно иметь программу с функциями удалённого администрирования и туннелирования трафика на любом внутреннем компьютере. А без комплексной антивирусной защиты любой пользователь на любом компьютере намотает кучу вирусов с такой функциональностью.

Опять же на сервере обычно работает служба сервера антивирусной защиты (касперского, доктор Вёб и т.д.) и служба WSUS (централизованная установка обновлений Windows), которым нужно загружать обновления для рабочих станций.
Да и сервер 1С скорее всего позволяет выполнять в автоматическом режиме различные задания по обновлению отдельных справочников (банки и т.д.) в своих базах.

1) ПК главного бухгалтера: два сетевых адаптера (один в роутер), другой чисто внутренний (в свич 172.16.31.1). Беру Hyper-V, делаю две машинки: DC, 10.0.0.1 hyper-v private, 172.16.31.2; 1csrv 10.0.0.2 hyper-v private. »

У вас "сервером" является обычный компьютер главбуха?
Может быть всё же лучше было бы купить именно сервер, пусть даже начального уровня?