Двухфакторная авторизация для VPN-соединений

Не запретили, а запретят с 1 ноября.
Не VPN, а сервисы которые предоставляют доступ к запрещенным сайтам.

VPN не запретят как минимум по тому, что он нужен компаниям как инструмент.

А VPN в России, как известно, запретили.

Насколько я понимаю данный закон о запрете анонимайзеров и VPN, то в данном случае не совсем понятно его применение.
В частности, решение Panda GD позволяет предприятиям и организациям устанавливать VPN-соединения между своей локальной сетью и удаленным/мобильным сотрудником данного предприятия (или другого предприятия, например, поставщик, продавец, партнер и т.д., кому решили предоставить доступ к локальным ресурсам). Поэтому получается, что такой roadwarrior выглядит так, словно он находится в этой локальной корпоративной сети. Далее он ходит в Интернет уже как из локальной сети предприятия с его внешним IP. А тут уже провайдер предприятия должен блокировать доступ к запрещенным сайтам.

Т.е. с помощью нашего VPN не обеспечивается доступ к запрещенным сайтам.
Насколько я понимаю, с учетом п.17 (с перечнем изменений ст.15) в №276-ФЗ «О внесении изменений в Федеральный закон „Об информации, информационных технологиях и о защите информации“ использование VPN-сервисов не запрещено предприятиями и организациями для установления VPN-соединений с ограниченным и заранее предопределенным кругом пользователей (удаленные и мобильные сотрудники) в технологических целях обеспечения деятельности этого предприятия или организации (обеспечение безопасного соединения удаленных/мобильных сотрудников к внутрикорпоративным ресурсам).

Есть возможность автоматически рассылать ключи для вновь создаваемых пользователей? Скажем при добавлении в определенную группу MSAD (и вообще с MSAD дружит или нет?).

Нет, возможности автоматически рассылать ключи на текущий момент пока нет, хотя эта опция стоит в списке ожидаемых. В целом решение Panda GD дружит с Active Directoryдля других функций (мы об этом напишем небольшую статью в ближайшее время), но в данном случае такой возможности пока нет.

А Вам для какого количества пользователей требуется рассылка ключей? Как правило, не для всех сотрудников предоставляется VPN_подключение для каких-то внутренних корпоративных ресурсов.

Есть некое подобие личного кабинета или сервиса самообслуживания, для получения нового ключа, в случае смены смартфона?

Такого личного кабинета сейчас нет.

Так же не понятно где при наличии стандартного OpenVPN клиента будет выводиться окно ввода OTP.

Временный одноразовый ключ вводится пользователем в стандартном окне для авторизации VPN-соединения в поле для вода пароля через пробел. Например:
Yourpassword yourotpkey

Но убила фраза: «Сфотографировать с помощью камеры смартфона QR-код, сгенерированный в консоли GateDefender», т.е. пользователь должен иметь доступ в консоль администрирования?

Конечно, нет, конечный пользователь не должен иметь доступа к консоли управления.
Вы не совсем верно поняли.
Конечный пользователь получает от администратора текстовый ключ или QR-код (в виде картинки или в печатном виде). После этого конечный пользователь берет свой смартфон и сканирует этот QR-код с помощью камеры, встроенной в смартфоне.