Все гораздо проще. Включите cloud-службу mikrotik - IP → Cloud →DDNS. Получите имя, основанное на серийном номере устройства (способ не будет работать в случае RouterOS x86). Это имя прописываете в качестве PPTP- сервера на филиальных роутерах. Это все, что нужно сделать. Изменился IP головного офиса - разорвалось соединение, но имя автоматически будет переназначено на новый IP, и филиалы автоматически переподключатся.

Для IPsec очень желательно выбирать модели, которые могут шифровать аппаратно. Минимальные по цене варианты - hEX (rb750gr3), hAP AC2, rb450gx4. Можно построить просто IPsec туннель на основе политик, можно ipip или eoip over ipsec, надо лишь убедиться, что провайдерами не блокируются протоколы и порты стека ipsec. Если такая блокировка есть, то микротики лучше не применять, и сделать туннель OpenVPN, у микротиков своя, далеко не самая лучшая и удобная реализация OpenVPN. Можно, к примеру, использовать дистрибутив роутеров pfsense. В случае использования ipsec один из роутеров должен иметь белый IP-адрес, второй может иметь и серый, ipsec может устанавливать соединение через NAT.