> за такое "решение" в месте где давно используют ipsec -

если они давно используют, то сами прошлись по всем граблям и сами все порешают.
в т.ч. проблемы с точным временем.

> - в месте где его по делу использут (пара сотен клиентов
> работающих с vdi на одну коробочку например, или кросс-ДЦ линк на
> пару хотя бы гигабит).

чего мелочиться - пишите "терабит", пусть ламо испугается.
"энерпрайз" и "индустри" здесь уже никто не боится (я надеюсь).

>> внедряем OpenVPN. его все знают.
> нихера вы не знаете.

А ТО ! "Джон Сноу" мое второе имя.

> вспоминали прекрасную его фичу, наличествующую наверное в
> 99.9% всех внедренных где надо и где не надо - любой
> пользователь может изобразить mitm и никто ничего не заметит.

1) с обновлением версий фича уйдет. кто не обновляет тот ССЗБ.
2) заложенное в IPsec американским КГБ останется навсегда.
2.1) прошивки на цисках так просто не обновляются.
3) кстати ! откуда у вас циски с криптоускорителями, ась ? не нарушили ли вы и/или ваш поставщик случайно парочку постанов ФСТЭК от 666 года эпохи еще Эльцына и раннего Утина ? их никто не отменял. давайте поднимем ваши ТД и проверим - что там написано и что реально ввезено.