Для туннеля с конторой постоянный туннель, если этого требует работа - админа, например, есть не опция, а фактически необходимость, причем, туннель, который вяжется именно с роутером (железкой), а не с программным сервером на виртуалке (потому что хост, держащий виртуалку может банально лежать).
Не знаю, как насчет GRE - но вот IPSec запросто подымается в режиме так называемого roadwarrior, когда "свой" IP вообще может быть неизвестен заранее, знаешь только IP шлюза.
С виндой у меня правда так не получалось. Микротики так вязал, линуха и андроид.