То есть вы провели тесты, и есть существенная разница в производительности? А какая?
Когда я из Индии по сотовой связи через OVPN пытался подключиться к внутренней сети, я понял что ну его нахер. Если канал медленный и с потерями а у тебя TCP, а внутри него опять TCP то повторные отправки потерянных пакетов делают работу невозможной
Можно GRE + IPSEC, можно просто IPSEC. Кстати, в последней прошивке микрота анонсирована возможность делать несколько одинаковых политик на разные пиры для fallover. Буду пробовать на следующей неделе