Eso suena bien. La mejor solución sería hacer que tu SSO funcione. No tiene mucho sentido que “no sea factible” que tu SSO no funcione para tus empleados, pero tal vez por eso trabajo por mi cuenta. 
(¿Pero tus empleados no usan tu aplicación? Si lo hicieran, debería ser lo suficientemente fácil agregar su dirección de correo electrónico con la API).
¡Pero las personas que toman malas decisiones son las que me mantienen en el negocio! Cuando no estoy convenciendo a la gente para que use las funciones existentes, lo que realmente me gusta hacer es que Discourse haga cosas para las que no está diseñado (como instalar Discourse).
Estaría feliz de desarrollar, o ayudarte a desarrollar, un plugin que hiciera que la ruta /u/admin-login (u otra) funcionara para los miembros de tu grupo de equipo (que incluye automáticamente a los usuarios con tu correo electrónico de empresa), y hacer una página que pudieran visitar e ingresar su correo electrónico para obtener un enlace de inicio de sesión.
Tal vez incluso podría redirigir automáticamente a los usuarios anónimos en tu VPN a la página de inicio de sesión o algo más para que sea más fácil para tus empleados.