Según mi experiencia, una vez que configura la CA y el Certificado se almacena en ADDS, una computadora lo tomará en el próximo arranque y lo almacenará en el almacén raíz de confianza de la computadora. Generalmente pongo CA en todos los dominios de AD que administro, ya que abre opciones para usar CA para todas sus necesidades de certificados sin ningún trabajo adicional para las computadoras miembros del dominio. Esto incluye Windows Server 2008 R2 SSTP VPN o L2TP IPSec que utiliza certificados. PPTP tradicional no utiliza certificados.
Ligeramente no relacionado, pero si desea que las personas accedan a VPN durante el inicio de sesión, debe usar GPO para impulsar una configuración de VPN o cuando cree manualmente la VPN en una computadora, marque la casilla "poner a disposición de todos los usuarios" que almacena la configuración de VPN en el perfil público en lugar del perfil de usuario específico. Una vez hecho esto, antes de iniciar sesión, haga clic en el botón Cambiar usuario (vista / 7) y verá un nuevo icono de VPN en la parte inferior derecha junto al botón de apagado. Eso resuelve el problema de "un nuevo usuario que inicia sesión sin estar primero en la red".
Por último, cuando cree la CA raíz, asegúrese de que esté ejecutando Windows Enterprise o que el Servicio de certificados esté paralizado (en la edición estándar) y no expire en menos de 10 años para ahorrarle algo de trabajo en el futuro.