Si, el 6a es el último, aunque pronto saldrá el SP7, aunque esto no te salva de varios de los agujeros de seguridad que se encontraron luego de que este SP fue liberado. Tampoco te salva de los incontables agujeros de seguridad que tiene el IIS, por lo que tendrías que ponerte a bajar varios hotfixes y aplicarlos.
En la siguiente página tienes una lista completa de los "Critical issues" que tienen ambos productos:
http://support.microsoft.com/support/default.asp?PR=cpa&FR=0&SD=GN&LN=EN-USTe recomiendo revisarlo y bajar aquellos que sepas que no tienes instalados.
También acá tienes una lista de Service Packs y Hotfixes para el IIS 4:
http://support.microsoft.com/support/default.asp?PR=iis&FR=0&SD=GN&LN=EN-USOtra cosa que te recomiendo es suscribirte a la lista de correo del Microsoft Security, donde te avisan de cada nuevo parche que es liberado. Te podes suscribir en:
http://www.microsoft.com/technet/security/
En donde dice Email notification.
En esa página tienes acceso al resto de los boletines de seguridad que deberías revisar y aplicar.
Con respecto a la VPN, tienes que explicarme concretamente como es la configuración de la red.