PPPoE VS VPN

Я имел в виду в данном случае не кражу внешнего трафика, а уязвимость одного клиента перед злонамеренными действиями другого, направленных на проникновение в его сеть. В частности, при нахождении злоумышленника в одной VPN-подсети с жертвой, возможно проникновение при помощи немаршрутизируемого протокола NetBIOS. А это, наверное, 70-90% всех случаев взлома.
Конечно, это лечится грамотной настройкой файеров. Но PPP этого не позволит сделать автоматом, т.к. на самом PPP-сервере уже происходит маршрутизация и NetBIOS там затыкается.

К примеру, со шлюза, подключенного к VPN сканер сети находит несколько частных подсеток других организаций и домовых систем. Правда, ни к одной из них мне подключиться не удалось, но это означает только то, что я плохо старался. Ведь я их вижу, значит TCP#139 (NetBIOS) открыт!

Так же, из чисто спортивного интереса, я прошелся по этим найденным шлюзам сканером портов. Обнаружил открытые порты TCP#4099 (RAdmin) - 4 раза, TCP#25/TCP#110 (SMTP/POP3) - 2 раза, TCP#21 (FTP) - 1 раз. Правда, на этот FTP доступ и так открыт, а к другим портам приконнектиться не удалось по причине фильтрации IP (RAdmin) или требований аутентификации (почтовики), но ведь попытку я все-таки предпринял! А если бы админ этих сетей где-то что-то забыл перекрыть? Или пароли удалось подобрать?
Впрочем, все эти порты можно просканировать и через PPP. Но согласитесь, для большинства балбесов возможность подгадить своему ближнему гораздо привлекательнее, чем даже взломать сервер администрации президента. Тем более, что последнее ой как чревато кое-чем ... А тут сам принцип организации VPN провоцирует на эти шаги ...

Вобщем, IMHO, вопрос о том, какие сети лучше, некорректен. Каждый подход обладает определенными преимуществами и недостатками. Нужно только уметь их грамотно использовать.
Например, как клиенту Инета мне больше импонирует PPPoE, но передача технологических параметров и аварийных сигналов с удаленных объектов у нас происходит в сети VPN. Как раз по причине того, что она прозрачна и для связи между объектами и диспетчерской не требуется авторизации и прочих бессмысленных телодвижений.

А вот насчет пинга шлюза, это интересно. Получается, что при отрицательном балансе доступ перекрывается не на шлюзе, который смотрит во внешний Инет, а на некотором промежуточном шлюзе, расположенном до Инет-шлюза, но за DHCP. Так?
Но тогда можно пинговать не только DHCP, но и всех остальных клиентов, находящихся, как и ты, до промежуточного шлюза, т.е. в одном сегменте подсети.