Wozu 25 und 465?
Welches Protokoll willst du denn nutzen?
Für die verschlüsselten Protokolle brauchst ein Zertifikat, aber das weißt du als alter Hase sicherlich.
Von extern hast du nichts gesagt.
Mail versenden geht über smtp. Port darfst du heraussuchen.
Ports für imap und/oder Pop besser iMaps/pops kann man an der Firewall annehmen und auf den Server oder einen LB weiterleiten.
Im Standard reicht es die Dienste zu aktivieren.
Evtl. erfasst deine Änderung zu viele Rechner. Mit deiner Lösung bekommst du auch XX*-S*.
Ob das ein Problem ist kann nur der TO entscheiden.
PS: Je nach Progammiergehirn ist die erste Variante evtl. lesbarer/verständlicher als die zweite.
Meine Erfahrungen zum INplace sind miserabel. Wo immer möglich lieber eine saubere Migration.
Bei Tobit bin ich mir nicht sicher, ob die so etwas überhaupt supporten.
Du kannst Tobit auch zu Exchange migrieren.
So langsam solltest du doch merken, daß deine hierarchischew OU Struktur ungeiegnet ist.
OUs haben nicht mit Ordner und Rechten auf einem Fileserver zu tun. Die OUs kann man relativ einfach anpassen.