VPN site to site a NAT

[abdenago]

Mam za zadanie zbudować mały hubik VPN dla kilku tuneli site to site. Mam dwa ISR G2 które będą pracować w trybie active-standby. Planowałem zapiac tunnel na Loopbecku (celem oszczedności adresacji publicznej), ten sam IP adres na dwóch pudłach + sterowanie routingiem któy jest aktywny a danym momencie.


Myślę również o użyciu statefull IPsec, z tym że w tym przypadku endpoint musi być adresem HSRP, w moim przypadku wymagałoby to użycia NAT (vlan połączeniowy jest z puli prywatnej)

Nie mam produkcyjnego doświadczenia z VPN, pytanie do kolegów czy NAT w IPsecu to duże zło i czy warto jest użyć statefull rozwiązania kosztem użycia NATa ?

Dodam że nie wiem kto się będzie do mnie łączył, zapewne pełna gama pudełek różnych vendorów.