[Anton04]

разделить отделы и сервера на vlan, по максимуму обезопасить сеть от вирусов и ddos. »

Предположим от вирусов и ddos заменой оборудования и разграничением на vlan`ы вы не добьётесь. Для этого есть другие программно-аппаратные средства.

Хочу настроить соединения между роутерами по ipsec, а лучше - чтобы был шифрованный канал до каждой рабочей станции. »

Ну и нужна Вам эта вакханалия в ЛВС? шифровать канал от станции до роутера/свича, зачем? Вы пытаетесь защититься от того, что кто-то, не санкционировано, подключиться к Вашим микротикам или свичам? Получите только повышенную нагрузку на сеть и пк.
Между микротиками это можно, но между пк и роутером/свичом это излишество.