В общем, сильно подозреваю, что всё дело в том, что кроме шифрования cisco приходится заниматься еще и фрагментацией пакетов, чего нужно категорически избежать.
Предлагаю:
1. Вернуться к ipsec gre (проще найти траблу)
2. Вместо 3des использовать aes 128
3. Включить ip unreachable на ВСЕХ интерфейсах
4. На туннелях выставить ip mtu 1416 ip tcp adjust-mss 1376

Если не поехало как положено - показать полный конфиг с обоих сторон.

В идеале по sh ip traffic | include frag должно быть
0 fragmented, 0 fragments, 0 couldn't fragment

Теория:
http://www.cisco.com/en/US/tech/tk827/tk369/technologies_whi...