Kennt sich jemand mit Firewall Appliances aus ?

Ich will doch mal sehen, ob hier der ein oder Andere Spezialist rumschwirrt.

Ich plane gerade eine Auslagerung unserer VPN Verbindungen in ein externes Rechenzentrum. Aktuell wird dafür eine CheckPoint 4200 Appliance und ein OpenVPN Gateway genutzt.
Nun sollen die vorhandenen Verbindungen auf IPSec umgestellt und auf einem HA Cluster ausgelagert werden. Hier mal eine kurze Übersicht, wie die Tunnels später laufen sollen...

Auf dem Cluster werden ca. 20 Tunnels definiert, die man in 3 Gruppen einteilen kann:

1) eine Verbindung zum Mainframe - hierhin muss jeder andere Tunnel geroutet werden (und natürlich von dort zurück)
2) eine Verbindung zur Zentrale (das sind wir) - unser lokales Netz wird nicht geNATtet, das gesamte Mainframe Netz ist erreichbar
3) mehrere Verbindungen zu Kunden - die lokalen Netze hinter dem jeweiligen Tunnel werden auf jeweils eine IP Adresse geNATtet, im Mainframe Netz ist nur eine Adresse erreichbar

Weiterhin muss das Netzwerk (ggfs. nur einzelne Adressen), in dem sich der HA Cluster befindet, von allen Tunnels erreicht werden, da dort Linux Server platziert werden sollen.

Angeboten wurde mir jetzt eine CheckPoint 4200 HA, die mit ca. 4000€ (alles Netto) zu Buche schlägt, Wartung und Firewall Lizenz kommt dann jährlich auf ca. 4500€.
Alternativ habe ich ein Angebot für eine Sophos SG 210 hier liegen, 2 Geräte für zusammen ca. 3000€, Wartung und Firewall Lizenz pro Jahr ca. 600€

Auf dem Papier ist die Sophos sogar stärker als die CheckPoint, aber jetzt die Frage: Sind die beiden Geräte für unser Vorhaben überhaupt richtig dimensioniert bzw. sind die immensen Mehrkosten der CheckPoint gerechtfertigt ?
Leider konnte mir bisher niemand wirklich (objektiv) Pro und Contra nennen, da natürlich beide Hersteller ihr Produkt für das Beste halten...

Die Angebote liegen ja bereits vor, allerdings kann mir niemand wirklich sagen, weshalb seines besser sein soll. Dadurch ist es für mich um so schwerer zu entscheiden...

Klar hat die Frage nichts mit einem Mediacenter zu tun, allerdings ist der Nerd-Level hier ziemlich hoch und es gibt vielleicht jemanden, der mir sagen kann, wodurch sich die Geräte überhaupt unterscheiden.

25000 VPN Verbindungen ... wir haben 20 und viel mehr werden das auch nicht mehr. Darüber laufen ca. 500 User und die Appliance muss auch keine aktive Filter (für Webzugriffe) haben oder Antivirenprüfungen machen, da kein User vor Ort sitzt ...

Ist hier absolut nicht notwendig, da die verbundenen Netze an sich geschützt sind und die Linux Server ebenfalls über Sophos AV verfügen. Also blankes IPSec VPN mit Source-/Dest-NAT
Lediglich IPS und Application Control werden benötigt.