我们在公共数据中心租用了许多主机。数据中心不提供私有 VLAN；所有主机都会收到一个（或多个）公共 IPv4/IPv6 地址。主机配备非常现代的 CPU（Haswell 四核，3.4GHz）并具有 Gbit 上行链路。数据中心的不同区域（房间？楼层？建筑物？）与 - 据我所知 - Gbit 或 500Mbit 链路互连。我们的主机正在运行 debian wheezy。目前，我们运行的主机略高于 10 台，预计在不久的将来还会增长。
我正在寻找一种方法来让所有主机安全且保密地相互通信。第 3 层很好，第 2 层还可以（但不是必需的）。由于我无法访问 VLAN，因此它必须是某种类型的 VPN。
对我来说重要的是：
我们目前正在使用tinc。它滴答作响 [2] 和 [4]，但我只达到了 960Mbit/s 线速的大约 600Mbit/s（单工），并且我完全失去了一个核心。此外，tinc 1.1 - 目前正在开发中 - 还不是多线程的，所以我坚持单核性能。
传统的 IPSec 是不可能的，因为它需要一个中心元素，或要配置的 sh*tload 隧道（以实现 [2]）。带有机会性加密的 IPsec 将是一个解决方案，但我不确定它是否曾经将其转化为稳定的生产代码。
我今天偶然发现了tcpcrypt。除了缺少身份验证，它看起来像我想要的。用户空间的实现听起来很慢，但所有其他 VPN 也是如此。他们谈到内核实现。我还没有尝试过，我对它的行为很感兴趣 [1] 和 [3]。
还有哪些其他选择？不在AWS 上的人们在做什么？
附加信息
我对 GCM 感兴趣，希望它能减少 CPU 占用空间。请参阅 …
我正在尝试在 DigitalOcean 上的云服务器和使用 Tinc 的本地服务器之间建立 VPN 连接。到目前为止，我已经成功地建立并运行了连接，服务器可以通过 VPN 地址相互通信 - 根据本教程。
但是，我无法从 DigitalOcean 上的服务器 ping 本地 LAN (172.23.6.0/24) 上的任何设备。我已经尝试将我的本地子网指定为 tinc hosts 文件的子网，但它不起作用。当我尝试从云服务器 ping 时，我只是收到“目标主机无法访问”错误。
这是我第一次与 Tinc 合作，所以学习曲线非常陡峭。我仍在阅读文档，但目前发现它有点令人困惑。并不是说它写得不好，我只是出于某种原因没有得到它。
有没有人成功完成我正在尝试做的事情，可以帮我一把吗？谢谢。
附注。我的最终目标是让云服务器和内部服务器相互通信，以便云服务器知道我们防火墙后面的 LAN 子网。通过这种方式，我将能够进行一些 Active Directory 身份验证，而无需将 AD 服务器暴露给 Internet（至少不是直接暴露给 Internet）。