Não. Isso geralmente é feito por engenheiros que limpam bits do dscp, mas é a mesma ideia. Você, como engenheiro de rede, deve ser aquele que decide qual tráfego recebe prioridade ou permissões de enfileiramento especiais, não os pontos de extremidade. Também é muito provável que a maioria dos roteadores no caminho não tenha o enfileiramento do ECN ativado, definitivamente não se ele estiver passando pela Internet. Alguns roteadores e firewalls nem mesmo copiam os bits do TOS do pacote não criptografado para o cabeçalho do pacote criptografado.
Agora, no que diz respeito ao seu caso, você está executando algum aplicativo em tempo real na sua rede, como voz ou vídeo? Que tipo de roteador ou firewall você está usando para encapsular seu tráfego? Se for um dispositivo de classe empresarial, você deve ser capaz de remover os bits ECN ao atingir a interface não criptografada do roteador. Esse túnel está saindo pela internet ou por um circuito privado?
Editar:
Não é considerado mal porque é você quem é responsável pela sua rede, não pelos seus usuários. Portanto, cabe a você decidir qual tráfego deve ser transmitido e quais velocidades e filas atribuir a esse tráfego. Em geral, é considerada a melhor prática comercial remover os bits DSCP dos usuários na entrada e fazer sua própria classificação de tráfego para enfileiramento e controle de congestionamento.
Se é ou não prejudicial depende do cenário. Parece que, em seu cenário, seus usuários estão chegando da Internet em um túnel de VPN e depois voltando para a Internet em claro. Como a Internet é uma rede de melhor esforço, os bits ECN são essencialmente inúteis porque os roteadores da Internet não honram esses bits. Normalmente, a QoS e o controle de congestionamento no nível de transporte são úteis somente em uma rede na qual você pode controlar os dispositivos de ponta a ponta ou onde você tem uma taxa garantida ou SLA com o provedor.