ничего не говори про С-Терру... с этими железками я года три "развлекался"

если не учитывать утечку памяти в корневом процессе, ежемесячные перезагрузки и потерю пакетов на длинных каналах (что для UDP/ipsec критично) в остальном нормальные железки

А, забыл еще процедуру обновления с разворотом вм и загрузкой по сети..

Попробуйте перехватить поля сертификата в сессии, сразу будет понятно какой серт генерить.