Если делать IPsec в тунельном режиме, то GRE тунель настраивать не нужно (по факту он там уже есть). Если в транспортном, то вопрос сначала/потом не имеет смысла, как по мне. Можно хоть GRE настроить между WAN-ами, а потом зашифровать, хоть сначала зашифровать весь трафик WAN-local <—-> WAN-remote, а затем делать GRE