É minha experiência que, depois de configurar a CA e o Cert ser armazenado no ADDS, um computador o agarrará na próxima inicialização e armazenará no armazenamento raiz confiável do computador. Geralmente, coloco CAs em todos os domínios do AD que administro, pois abre opções para o uso de CA para todas as suas necessidades de certificado sem qualquer trabalho adicional para computadores membros do domínio. Isso inclui a VPN SSTP do Windows Server 2008 R2 ou o IPSec L2TP que usa certificados. O PPTP tradicional não usa certificados.
Ligeiramente não relacionado, mas se você deseja que as pessoas façam VPN durante o login, use o GPO para enviar por push uma configuração de VPN ou, quando criar manualmente a VPN em um computador, marque a caixa "disponibilizar para todos os usuários" que armazena a configuração da VPN no perfil público em vez do perfil de usuários específicos. Feito isso, antes do login, clique no botão alternar usuário (vista / 7) e você verá um novo ícone de VPN no canto inferior direito do botão desligar. Isso resolve o problema de "um novo usuário efetuando login sem estar na rede primeiro".
Por fim, quando você cria a CA raiz, verifique se ele está executando o Windows Enterprise ou o Serviço de Certificados será aleijado (na Standard ed.) E eu não faria o vencimento em menos de dez anos para poupar algum trabalho no futuro.