У вендорских есть фичи, типа галка, сначала сеть, а потом грузить GPO. У того же випнета решается драйвером. Как у циски не помню.
Встроенный клиент хз, решалось в джобах системы, дождаться загрузки и поднятия сети (не только VPN), а потом все остальное там ещё и маршруты надо передавать (цепляешь скрипт на UP DOWN).
Делал пару раз, не помню, обычно ставили раутер какой-нибудь.
Как правило все эти клиенты работают на терминалке, ибо нечего трафик гонять, там можно обойтись RDS шлюзом.