> もしルーターに IPSec させたいときには、lan1 secondary にグローバルを振るんでしょうか？

いえ。実動作上は不要です。不要のはずです。rtxの仕様は、動的IPでもIPsecできますよね。
ppにアドレスを振らないケースでは、
ルータ-からインターネット側へ出るときは、nat(IPマスカレード)で変換します。
入るときは、IPsecに必要なudp500とespについては、静的IPマスカレードでフォワーディングさせます。

ppにIPを振るとしたら、"/32"へ変える、または、"/29"をつけない、です。

まあ個人的な趣味なんですが、ppに振らない理由は、ppはぴあぴあだからです。
振ってしまうと、ルーティングテーブルが一つ増えるつまり処理がすこし増えますし、
人に診てもらうときにも説明が増えますからです。