Но если по какой-либо причине туннель упал, а инет продолжает работать, то сотрудник, не зная об этом, подписывает благополучно со своего провадерского адреса.
Читает, если установить соответсвующую прожку
del /f /q c:\tmp1\*
del /f /q c:\tmp2\*
...
reg /?
После того как оба маршрута на месте, трафик должен начать ходить.
Помешать могут только фаерволы. Причем фаерволы как на конечных хостах, так и на промежуточном ВПН сервере.