Помогите подтянуть матчасть по xl2tpd+ipsec

Ситуация следующая. Хочу поменять свой pptpd + mppe на xl2tpd + ipsec.
Начал все настраивать, но возникли некоторые вопросы.
1. ipsec я так понимаю шифрование поверх тунеля от xl2tpd, верно?
2. Стоит ли заморачиваться с заменой? Мне кажется pptpd нынче стал устаривать да и mppe от мелгомягкого.

При установке были замечены такие программы. Например racoon. Какую он выполняет цель если в службах есть /etc/init.d/ipsec.
Если почитать инфу, то там нужно запускать скрипт /etc/racoon/init.sh - нафига?

3. Если настраивать, то нужно использовать ключ или сертификат? Нужно ли это вообще?
4. Без IPSEC у меня клиент с винды подцепился (было до поломки моими руками кривыми), но почему авторизация прошла по CHAP.

Куча вопросов назадавал. Промучал инет вчера всю ночь и как то не все вкурил. Не, конечно все закопипастить не проблема, но это не айс. Сломается и сиди думай что отвалилось

5. Для чего используется TNAT? Я так понимаю есть проблема с трансляцией трафика или что то в этом роде.
6. Достаточно ли прокинуть на шлюзе UDP 1701,500 и 4500 порты? И нужно ли подгружать какие модули?

З.Ы. CentOS 6.3 у меня.

совсем нет знающих по этому вопросу?

ipsec - являет собой вариант авторизации
IPSec (сокращение от IP Security) — набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет. В основном, применяется для организации vpn-соединений.
Желательно использовать всегда ключ - меньше "левых" клиентов будет.
Не знаешь, что такое NAT?

Любой протокол можно завернуть на обработку в ipsec (l2tp в частности). racoon - набор софта, который позволяет заворачивать на шифрование какой-либо протокол.
По портам - да. Про модули - ЕМНИП ipsec модулями в ядро не собирают.