Возможно ли Active Directory авторизация через VPN?

Всем привет! Есть домен на Windows Sever 2012R2. Есть около 25 филиалов. В каждом филиале по 2 - 3 компьютера. Понятное дело, расточителньо ставить по контроллеру RODC в каждый филиал. Но есть мысль связать все филиалы по ipsec vpn (site-to-site). Понятно, что все будет зависеть от стабильности канала, но в принципе кто-то так пробовал делать? Или может быть посоветуете что-то? Почему понадобилось - не хочеться ручками происывать политики на 60 компьютерах вручную. Заранее спасибо.