MPLS vs Internet для объедения распределенной сети. Нужны аргументы?
распределенной сети предприятия через интернет с использованием статических IP на хабе и споках.
Это отвратительно.
На бранчах стоят Cisco 851/857/881 (IPSEC VTI с RIPом в качестве динамической маршрутизации).
Переходите на DMVPN+EIGRP/OSPF.
У Жунипера есть нечто похожее. 
1) Негативно относиться к идее в бранчах использовать интернет со статическим адресом (мол это увеличивает вероятность взлома)
ACL, разрешающий пакеты только от ЦО. Еще можно тупо не делать маршрут на 0/0 в интернет, сделав лишь хостовые маршруты на центральные роутерц.
Есть желание все оставить на старых кошках (мол жалко «выкидывать» уже имеющееся оборудование).
DMVPN.
хотел бы услышать комментарии чем грозит наличие динамического IP в бранчах.
На хабах нельзя указать в ACL список адресов бранчей. Терпимый воркараунд — узнать у операторов диапазоны возможных адресов. Но на самом деле светить узлы в интернет не так опасно, как кажется, если не наделать глупостей.
Ну а DMVPN даже сквозь NAT пробивает — я тестировал.
Можно махнуть на те же 860-е. Много заменять?
Менять не много, но 860 — тоже только RIP. OSPF — 870/880 с AdvIPServices.

Как я уже сказал — смысла в переходе на жуниперы особо не вижу, если цискина инфраструктура уже развернута.
Головной офис будет переезжать и будет меняться все оборудование на Juniper — т.к. старое уже морально и физически устарело (выбор на джунипер пал из-за цены проекта — безоговорочность выигрывает у циско).

У меня сотни бранчей. Нигде никогда такого не было. Никто из моих знакомых тоже никогда не слышал об атаках на споки.
А откуда атакующий узнает статический адрес спока? Внутренним сотрудникам (кроме администраторов) он неизвестен, и выяснить его они не могут. Никакие обращения на сторонние ресурсы с этого адреса идти не могут. Ни на какие внешние воздействия он не отзывается, кроме как от хаба (или при phase 2 — от других споков).
Итого: атака ИСКЛЮЧИТЕЛЬНО маловероятна. Ну никто не будет этим заниматься. Скорее забьют центральный канал, на который указывают MX и A записи глобального DNS. 
А вот это именно тот аргумент, который я хотел услышать. Спасибо!