Link de alta disponibilidade

O que é mais viável para montar VPN (Virtual Private Network)?

Para o chefe do departamento de TI é simples. Basta colocar links FULL com 99.99% de disponibilidade na Matriz e em todas filiais. Exemplo: Embratel, Global, Copel, etc. Assim, a VPN nunca vai ficar fora do ar. Se for uma matriz e 5 filiais e supondo que todas elas gastem com um link full da embratel de 4MBits na faixa dos R$1.000,00. Por mês, o custo será de R$6.000,00. Por ano serão gastos R$72.000,00. Mas paga-se isso para ter tranquilidade.

E para o chefe da empresa é mais complicado. O chefe quer a melhor opção custo-benefício. Mas como nada é de grátis, então o chefe de TI terá um bom trabalho para que esta opção se concretize. Qual seria? Montar a matriz um link full e as filiais com dois links de internet via ADSL ou congenere de operadoras diferentes. Se um link cair, outro assume. A matriz passaria a gastar R$12.000,00 por ano e as filiais somam R$15.000,00 por ano, totalizando em R$27.000,00. Uma economia SIGNIFICATIVA de R$57.000,00. Vale a pena? Vai depender do perfil da empresa.
Suponhamos que fosse uma rede de lojas de eletrodomésticos caros (TVs, Geladeiras e outros eletroeletronicos carissimos). Se a VPN está conectada com a matriz via GVT e ela vir a cair, o link de ADSL da Brasil Telecom assume. O custo é o tempo de queda do link da GVT (desligamento do circuito ATM) que pode variar de 30 a 60 segundos e o tempo para o roteador aprender a nova rota padrão. Fiz um ensaio derrubando o link da GVT (desconectando o cabo telefonico). Demorou 1 minuto para a navegação voltar a funcionar na rota da Brasil Telecom. Levando em conta que a GVT caia pelo menos uma vez por mês, teremos 12 minutos de queda de internet por ano. O custo de 12 minutos altamente disponíveis é de R$57.000,00...

Como fazer?
Utilizando roteadores da série 2600:
Basta colocar uma WIC com uma Fast Ethernet. Assim teremos três FAs. Uma entrará o sinal já pronto do modem ADSL da operadora 1 em modo bridge. Este link será o principal e fará a autenticação PPPoE ou PPPoA. Não funciona com MER, DHCP ou IP estático, pois a perda de link não pode ser reconhecida nestas modalidades. A outra entrará o sinal já roteado do segundo modem ADSL da operadora 2. Este será o link auxiliar. Aplique rotas estáticas para os sites mais visitados pela empresa e coloque a definição de IP XXX.XXX.0.0/16 ou XXX.0.0.0/12 para o Gateway padrão da operadora 1. Para os sites raramente visitados, deixe na rota padrão que aponta para o modem roteado da operadora 2. Portanto, a lista de IPs aplicados nas rotas estáticas vão sempre apontar para o Gateway do provedor 1 e as demais rotas cairão na rota padrão. Se a operadora 1 cair, todas as rotas estáticas aplicadas vão desaparecer da tabela de rotas, deixando apenas a rota padrão que aponta para o Gateway do modem roteado da operadora 2. Quando o circuito da operadora 1 ficar online novamente, as rotas estáticas vão subir, estabelecendo-se o link principal. Assim sendo, a VPN conecta-se via rota estatica que aponta para o Gateway da operadora 1. Caso ela caia, a VPN automaticamente se auto-reconectará via rota padrão que aponta para o modem roteado da operadora 2.
Não testei na série ASA 5500, mas se alguém fizer com eles e tiver sucesso me reporte.