Очень понравился совет от Сёмка. самое правильное решение, причем зарезервировать их, для того чтоб в случае зависания/падения одного второй подлетал автоматом, конфиги можно скриптом сравнивать и периодически(раз в день, или неделю - зависит от того как часто меняются настройки) подтягивать. Аккаунтинг ВПНа я бы организовал по радиусу, с того же вынь-дос сервера, дабы не плодить строки конфига.
Но! ежели у автора есть желание задействовать все железки и раскидать функционал, то я бы(ради по играться) сделал бы так:
2011 - шлюз;DHCP;DNS
951 - впн;CAP-server
остальное на выбор. главное сильно не городить фаирвол на 2011, т.к. проц там так себе, собственно как и на 951-х