Cómo diseñar una conexión VPN correcta para una organización (enlace MPLS interconectado o FW individual)

Gracias de antemano por tu consejo

Tenemos que implementar la conexión VPN para casi 7 países

Opción 1 :

Como tenemos un enlace privado de MPLS a los 7 países. Se ha subcontratado a terceros.

1. Proporcionan VPN con 2FA con un costo adicional. Pero el desafío lo es. abre el acceso a todos los países.
2. Gestionado por un tercero, cada solicitud de cambio depende de ellos
3. Pensando que podría ser un desafío administrar en términos de seguridad y cumplimiento
4. aunque tenemos la opción de crear una lista de acceso para restringir el acceso a sus respectivos países. Creo que su desafío para la seguridad es que algunos de los países pueden ser compatibles con PCI y realizar diferentes proyectos.
5. ¿Es posible monitorear a través del FW o IPS local?

OPCIÓN 2:

1. Cada país tiene su propio FW (ASA o Fortigate)
2. ¿Podemos crear VPN en el FW respectivo? ¿Es recomendable que VPN a través de MPLS?
3. ¿La VPN es gratuita para Fortigate y ASA? ¿Hay alguna limitación?
4. Creo que es fácil y tiene más control para implementar VPN en los respectivos países
5. Ya que solo tendrán acceso a la zona (país) en particular
6. Será útil para futuros proyectos en términos de cumplimiento.

Como de costumbre, proporcione sus valiosos comentarios / respuestas / opinión. Cuál es la mejor manera de ir