Thank you for your tips on alternatives to my idea. So far I have already implemented the solution for my 150 remote laptops using Bintec-IPSEC.
At Bintec there was a “collective IPSEC endpoint” in the RXL 12500 central router. This created a temporary IPSEC endpoint for each remote laptop dialed in and also deleted it again when the remote laptop went offline. Each laptop had the same IPSEC client configuration, authenticated when dialing in using RADIUS and Active Directory. In addition, a daily changing password had to be entered in order to make the IPSEC configuration usable as a file in the laptop when the laptop was started up.
There were never any problems with it, there were one-off costs of around €90 per client - the purchase of the Bintec IPSEC client.
We have to move away from Bintec (technology too old, no current products and Bintec has gone bankrupt). We already use Mikrotik as the branch and central router, Wireguard works great between the branches, so my plan was to also use the remote laptops through it.
Whether Wireguard + Hotspot will work - and above all be SAFE, remains to be seen once it is running.
If this doesn’t work, my second choice is to map the Bintec IPSEC tunnel endpoint in Mikrotik, since I’ve already bought all the IPSEC clients over the years anyway. It remains to be seen whether such a collection endpoint with Active Directory authentication via RADIUS is feasible there. I’m currently putting my energy into the Wireguard+HotSpot idea. It seems modern, high-performance to me and I’m hoping to use scripting to automate the 150 endpoints with their different Wireguard keys. For example, the remote laptop is connected locally to the company network, a script reads the client’s public key and automatically creates an endpoint in the Mikrotik. Or something like that…
However, if none of this works, an SD-WAN variant would be the next choice. This is also associated with not inconsiderable monthly costs 
auf Deutsch:
ich danke euch für eure Tipps zu Alternativen zu meiner Idee. Bisher habe ich ja bereits die Lösung für meine 150 Remote-Laptops mittels Bintec-IPSEC umgesetzt.
Bei Bintec gab es im Zentralrouter RXL 12500 einen “Sammel-IPSEC-Endpunkt”. Dieser hat je eingewählten Remote-Laptop einen temporären IPSEC-Endpunkt erzeugt und auch wieder gelöscht, wenn der Remote-Laptop offline ging. Jeder Laptop hatte die gleiche IPSEC-Client-Konfiguration, authentifiziert wurde bei der Einwahl mittels RADIUS und Active Directory. Zusätzlich Musste noch ein sich täglich änderndes Passwort eingegeben werden, um die IPSEC-Konfiguration beim Hochfahren des Laptops erstmal als Datei in den Laptop nutzbar zu bekommen.
Es gab nie Probleme damit, je Client entstanden Einmalkosten von ca 90€ - der Kauf des Bintec IPSEC Client.
Wir müssen von Bintec weg (Technik zu alt, keine aktuellen Produkte und Bintec Konkurs gegangen). Als Filial- und Zentralrouter setzen wir bereits Mikrotik ein, Wireguard klappt prima zwischen den Filialen, daher war mein Plan, auch die Remote-Laptops darüber zu nutzen.
Ob Wireguard + Hotspot zum laufen kommt - und vor Allem SICHER ist, bleibt abzuwarten, wenn es denn erstmal läuft.
Wenn dies nicht funktioniert, ist meine zweite Wahl, in Mikrotik den IPSEC-Tunnel-Endpunkt der Bintec abzubilden, da ich eh bereits die IPSEC-Clients alle über die Jahre gekauft habe. Ob dort so ein Sammel-Endpunkt mit Active-Directory Authentifizierung über RADIUS machbar ist, bleibt abzuwarten. Derzeit stecke ich erstmal meine Energie in die Wireguard+HotSpot-Idee, die erscheint mir modern, performant und ich habe Hoffnung, mittels Scripting, die 150 Endpunkte mit ihren unterschiedlichen Wireguard-Schlüsseln zu automatisieren. z.B. der Remote-Laptop ist im Firmennetz lokal angeschlossen, ein Script liest den Public-Key des Clients aus und legt automatisiert einen Endpunkt in der Mikrotik an. Oder so ähnlich…
Wenn jedoch auch das alles nicht funktioniert, wäre dann eine SD-WAN-Variante die nächste Wahl. Diese ist ja auch mit nicht unerheblichen monatlichen Kosten verbunden
