SBS 2008 (Exchange 2007 SP3) - externe URL ändern - neues Zertifikat

Einen schönen guten Abend zusammen,

auch wenn mein Anliegen schon mehrfach behandelt wurde und es zu allem Überfluss auch noch Freitag ist so hoffe ich auf die "Axt" die meine Sicht etwas aufklärt.
Vorab ich habe in dem Bereich ein gefährliches "Viertel"-Wissen und mich wohl durch zu viel googeln und lesen hier im Forum mehr selbst verwirrt als alles andere.

Folgende IST-Situation:
- SBS 2008 mit Exchange 2007 SP3 (aktuelles Patchlevel). AD, DNS, DHCP...die übliche Eierlegendewollmilchsau
- Die Kiste läuft rund und wurde zu 98% über die Assistenten konfiguriert
- die interne Domäne lautet: firma.local (vor Urzeiten eingerichtet als man es nicht besser wusste)
- FQDN des Servers: server.firma.local
- externe und interne URL (OWA, Remote-Webarbeitsplatz): remote.firma.zz
- Zertifikat selbst ausgestellt, signiert....Assistent halt
- Mailempfang erfolgt mittels POP3-Download (Popbeamer)
- Versand erfolgt über den Smarthost des Providers
- Neue Internetanbindung (endlich!) mit 8 statischen IPv4-Adressen und beim Provider bereits eingerichtetem A-Record: hq.firma.org für eine der statischen IP-Adressen

Ziel:
Das System für einen sauberen internen und externen Zugriff auf/via OWA, ActiveSync (iOS10, Android) und Outlook Anywhere (Outlook 2007 bis 2013) um zudrehen. Es gibt zwar ein tägliches Backup (Windows-Serversicherung auf ext. USB-Festplatte), aber ein Ausfall/Restore wäre mehr als ärgerlich, da es sich noch um den einzigen Server handelt.

geplantes Vorgehen samt Verwirrung:
1. Mit dem Assistenten die URL auf hq.firma.org ändern. Mit den Optionen "Ich verfüge bereits über einen Domänennamen" und "ich möchte die Adresse selber verwalten"
Die Fragen die sich mir hier stellen:
a. wird der lokale DNS-Server hier sauber neukonfiguriert? Bei meinen Recherchen kam es zu unterschiedlichen Aussagen (läuft, händische alte Einträge löschen, Outlook bekommt bei bereits eingerichteten Konten die Änderung nicht sauber mit)
b. Wird ein korrekter (momentan nicht der Fall? Zertifikatsfehler?) Autodiscover-Eintrag erzeugt?
c. Verständnisproblem: wie greifen lokale Clients auf den Exchange zu hq.firma.org zeigt ja auf die WAN-IP

2. SSL-Zertifikat
a. selbsterstellte/-signierte Zertifikate werden wohl von iOS 10 Clients nicht mehr akzeptiert und gekaufte sind sicherer?!
b. Mit dem Assistenten eine neues selbstsigniertes Zertifikat erstellen (vorerst) und testen, ob im lokalen Netzwerk noch alles sauber läuft
c. Ebenfalls mit dem Assistenten ein CSR erstellen und ein offizielles Zertifikat kaufen (Thawte, GoDaddy etc.)...nun verlassen Sie mich final. Welchen Zertifikat-Typ brauche ich?

Bei Thawte finde ich von SSL123, SSL-Webserver und SSL-Webserver mit EV mit unterschiedlichen Preisen mehrere Möglichkeiten. Bei GoDaddy spricht man von "Schutz einer Webseite mit DV,- OV und EV-SSL Zertifikat". StartSSL habe ich mir angesehen und mich registriert, aber ich glaube mein Hirn käst schon. Wie viel Geld muss man hier sinnvoll ausgeben ohne was zum Fenster rauszuwerfen?

Ich hoffe jemand kann mir die Axt reichen, bitte mit Griff vorraus