si, pero establecer ipsec no quiere decir que tengas que tener el ras montado.
De hecho tu puedes habilitar con qué máquinas quieres que hable ipsec y con cuales no, ten en cuenta que eso carga la máquina y aparte carga la red de comunicaciones.
Yo habilitaría ipsec pero que también permita escuchar sin ipsec y habilitaría ipsec en las máquinas críticas que lo necesites, también si tienes curiosidad se puede configurar un cisco con ipsec y que se conecte un windows 2000 server (que no permite cliente vpn) para hacer comunicaciones lan-to-lan, entre router y servidor.
Saludos