Доброго времени суток, уважаемые спецы!

Бьюсь уже длительное время над проблемой, мозги кипят а сообразить не могу...

Дано:
2821( AIM-VPN)
ASA 5510
"Внешние" интерфейсы смотрят друг в дружку через 100мегабитный свич.
Настроен Ipsec тунель между ними.

Проблема:
Скорость обмена между сетками нереально низкая:
Копирование файла (SMB, FTP) из сетки из-за ASA в сетку за роутером - ~ 4 мегабайт (загрузка проца ASA ~5-6%, роутера - ~ 40-50%). В принципе это более-менее устраивает.
Копирование наоборот - ~ 1.1-1.3 мегабайта(!) Загрузки процов особой нет. Проверял в работчее врямя когда есть некоторая нагрузка на сеть и вне рабочего времени. Менял алгоритмы шифрования - абсолютно без изменений.
IOS стоял c2800nm-advipservicesk9-mz.124-20.T
Сменил на c2800nm-advipservicesk9-mz.124-24.T - скорость копирования с роутера упала вообще до 300-400кб(!)...
Посоветуйте где туплю.
Ниже конфиги (некоторые второстепенные моменты пропущу):
Роутер:
тунель на Gi0/1.На Fa0/0/0 интернет + еще один тунель до другой асы в сетку 192.168.1.0 - там такая же проблема 1в1.

aaa new-model
!
!
aaa authentication login default local
aaa authentication login userauth local
aaa authorization network default local
aaa authorization network groupauthor local
!
!
aaa session-id common
!
!
ip source-route
!
!
ip cef
!
!
no ipv6 cef
!
multilink bundle-name authenticated
!
!
crypto keyring keyring_gorky_branch
    pre-shared-key address ASA_IP key YYYYYY
!
crypto isakmp policy 20
  encr 3des
  authentication pre-share
  group 2
crypto isakmp profile l2l_gorky_branch
      keyring keyring_gorky_branch
      match identity address ASA_IP 255.255.255.255
!
!
crypto ipsec transform-set TSET_gorky_branch esp-des esp-sha-hmac
crypto ipsec df-bit clear
!
crypto map CMAP_gorky_branch 10 ipsec-isakmp
  set peer ASA_IP
  set transform-set TSET_gorky_branch
  match address 102
!
!
ip tcp path-mtu-discovery
!
!
interface GigabitEthernet0/0
  description Local Network
  ip address 192.168.0.16 255.255.255.0
  ip access-group block_mail_ports in
  ip nat inside
  ip virtual-reassembly
  duplex auto
  speed auto
!
interface GigabitEthernet0/1
  description Magistral-Telecom (Gorky Branch)
  ip address 212.17.0.ZZZ 255.255.255.0
  ip nat outside
  ip virtual-reassembly
  duplex auto
  speed auto
  crypto map CMAP_gorky_branch
!
interface FastEthernet0/0/0
  description Siberian Networks (Internet)
  ip address INET_ADDR 255.255.255.248
  ip nat outside
  ip virtual-reassembly
  ip policy route-map rm
  duplex auto
  speed auto
  crypto map CMAP
!
ip route 192.168.2.0 255.255.255.0 212.17.0.40
!
!
ip nat translation tcp-timeout 3600
ip nat inside source list NAT interface FastEthernet0/0/0 overload
!
!
ip access-list extended NAT
  deny ip any 192.168.0.0 0.0.255.255
  deny ip any 10.0.0.0 0.255.255.255
  permit ip 192.168.0.0 0.0.255.255 any
!
access-list 102 permit ip any 192.168.2.0 0.0.0.255
!

ASA:

hostname GorkyBranchASA
!
interface Ethernet0/0
  nameif outside
  security-level 0
  ip address ASA_IP 255.255.255.0
!
interface Ethernet0/1
  shutdown
  no nameif
  no security-level
  no ip address
!
interface Ethernet0/2
  shutdown
  no nameif
  no security-level
  no ip address
!
interface Ethernet0/3
  nameif inside
  security-level 100
  ip address 192.168.2.1 255.255.255.0
!
interface Management0/0
  nameif management
  security-level 100
  ip address 192.168.12.2 255.255.255.0
  management-only
!
ftp mode passive
access-list nonat extended permit ip 192.168.2.0 255.255.255.0 any
access-list ipsec extended permit ip 192.168.2.0 255.255.255.0 any
pager lines 24
logging asdm informational
mtu outside 1500
mtu inside 1500
mtu management 1500
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-613.bin
no asdm history enable
arp timeout 14400
nat (inside) 0 access-list nonat
route outside 0.0.0.0 0.0.0.0 212.17.0.40 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
aaa authentication ssh console LOCAL
aaa authorization command LOCAL
http server enable
http 192.168.12.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set TSET esp-des esp-sha-hmac
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
crypto map CMAP 10 match address ipsec
crypto map CMAP 10 set peer 212.17.0.ROUTER
crypto map CMAP 10 set transform-set TSET
crypto map CMAP 10 set security-association lifetime seconds 28800
crypto map CMAP 10 set security-association lifetime kilobytes 4608000
crypto map CMAP interface outside
crypto isakmp enable outside
crypto isakmp policy 20
  authentication pre-share
  encryption 3des
  hash sha
  group 2
  lifetime 86400
telnet timeout 5
ssh 0.0.0.0 0.0.0.0 management
ssh timeout 15
ssh version 2
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
tunnel-group 212.17.0.ROUTER type ipsec-l2l
tunnel-group 212.17.0.ROUTER ipsec-attributes
  pre-shared-key *
!
class-map inspection_default
  match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
  parameters
    message-length maximum 512
policy-map global_policy
  class inspection_default
    inspect dns preset_dns_map
    inspect ftp
    inspect h323 h225
    inspect h323 ras
    inspect rsh
    inspect rtsp
    inspect esmtp
    inspect sqlnet
    inspect skinny
    inspect sunrpc
    inspect xdmcp
    inspect sip
    inspect netbios
    inspect tftp
!