Duda VPN por hardware

Hola,

Tengo una duda de estas "conceptual". Ahora tengo un SBS con 2 tarjetas
segun el esquema:

Router -> SBS -> Clientes

Pero queria dar un poco de seguridad añadida y estoy pensando en adquirir
un cortafuegos con VPN. De paso, aprovechar la posibilidad de tener
clientes VPN "por hardware". De manera que quedaria algo como:

Router -> Firewall/VPN -> SBS -> Clientes

El caso es que si pongo esta configuracion, los clientes VPN van tener IPs
de de la red "externa" del SBS, no de la red "interna" de lo clientes. ¿Es
así? ¿Se puede hacer VPN por hardware con 2 nics?

Gracias!