>задача:
>
>перейти с уже имеющегося и не устраивающего VPN решения (уж оч глючит)
>на новые рельсы, которые бы позволили не прыгать с бубном.
>масштабы действия:
>800 уже имеющихся клиентов

Одновременно?
>в перспективе до 4'000
>
>Тоже были мысли об аппаратном решении
>но слышал что их надо каждые 2а года сертифицировать- суть снимать и
>везти на сертификацию,
>а простой не допустим.Возможно ошибаюсь, был бы рад почитать какие-нибудь регламентирующие документы.
>

как я понимаю - все зависит от сферы Вашей деятельности. Это как-то завязано на лицезию на распространение или поддержку криптографии?

НО:
если "простои не допустимы" - можно просто купить 2(4-6-8) устройств и возить их раз  в 2 года со сдвигом в год. Т.е. в этом году везем одну железку, работаем на другой. В следующем году - везем основную, бэкапная становится на ее место.

итого - цисковский модуль - NME-RVPN. стоит за 100К, + "носитель" от 2811 и выше - еще порядка 42К
или у http://www.s-terra.com/ можно купить готовый сервер с Linux/BSD внутри - с сертификатом.