Quais caminhos especificamente? Qualquer coisa que seja acessada deve redirecionar para o login.
Sim, apenas login significa que a única maneira de acessar o site é fazendo login. Ainda é possível que algum tráfego de bot chegue às rotas / ou /login, porque elas precisam ser públicas para permitir que os humanos façam login, mas será restrito a essas rotas.