Таки да, не силен пока в этих вопросах, но стараюсь! )
Честно говоря, обнадеживает хотя бы уже то, что никто не говорит, что их не существует,
хотя конкретных моделей, кроме Juniper SRX240, не предложили.
Поскольку с точки зрения межсетевого экрана задача железки состоит в том,
что бы закрыть LAN от входящих подключений, за исключением VPN,
думаю что никакого шейпинга на начальном этапе не потребуется,
но аппетит может прийти как обычно в процессе реальной эксплуатации.
Не планируется выставлять никаких публичных сервисов на данном этапе.
Поэтому стратегия следующая - максимум популярных возможностей в рамках обозначенного бюджета.
ЗЫ Варианты с ebay не подойдут, т.к. надо быстро купить и внедрить.