Адекватное количество уровней безопастности на сетевом уровне для лабы и прода

1.  Возможность наличия на обеих сторонах туннеля и целевом хосте следящих буткитов, о существовании которых не знают даже операторы туннеля.
Бэкдор в софте туннеля, особенно, если он сделан в виде плагина браузера.
2.  Возможно наличие ошибок в софте, в т.ч. даже в конкретной реализации VPN, TLS и/или браузера, обратите внимание на сравнительную таблицу:
https://en.wikipedia.org/wiki/Transport_Layer_Security
3.  MITM как внутри туннеля, так и после VPN сервера при компрометации протоколов шифрования и/или утечке ключей.
4.  Сниффинг трафика после VPN сервера, в т.ч. логи провайдеров типа пакета Яровой (СОРМ, PRISM и т.п.), где в случае HTTPS шифрования будет оставаться как минимум отметка о факте доступа к определенному интернет домену.
5.  Логи внутри приложений, к которым вы подключаетесь по VPN, на целевых хостах.
6. Криптоанализ подразумевает значительное упрощение задачи взлома шифра вместо обычного перебора брутфорсом. Кроме того в сами алгоритмы шифрования могут быть встроены бэкдоры, т.е. они могут быть изначально искусственно ослаблены в некоторых секретных местах.