Переход на более производительное оборудование или оптимизация?

Не знаю как с циско.
Я когда-то видел сеть, где свитчи были циско и там запускали vmps и людей просто в нужные vlanы кидали.
По поводу производительности.
Как можне сильнее порезать файрвол на таблички чтоб каждый пакиет проходил как можно меньше правил. Это отгрузит процессор.
Рутинг порезаный на таблички к сожалению не является хорошей идеей лучше резать людей на iptables. Ну или еще лучше по возможности на свитчах.
Такие рутера как 3550 это немного старовато и не удевитесь, если он будет терять пакетов больше чем линукс. Если решитесь, на него, то так и так надо думать над минимальной табличкой рутинга. И каким-нибудь порт монитором, чтоб все пакеты так и так на какой-нибудь линукс бросать и там в них смотреть.
Если есть возможность, дописать рутеру статическую табличку арпов с маками клиентов, то это тоже поможет.
И последнее (то с чего я хотел начать) обновите ядро. Я видел чудеса с уменьшениями потерь пакетов na 90%.
Порезать сеть на меньшие сегменты, чтоб не добивать рутера броадкастами.

П.С. Сама по себе загрузка процессора при такой нагрузке это нормально. Страшны потери.

 свыше 250 mbit/sec, на внутреннем свыше 350 mbit/sec.

это ни о чем не говорит. pps и модели сетевых озвучьте.

Собираемся переложить функции маршрутизации на cisco 3550

ой ли :), толко маршрутизация и ничего больше ?

1. 64 бит
2. поменять сетевухи на что-нибудь более достойное (например, Intel Gigabit, хотя бы десктопные которые)

Правильно подобранная циска это хорошо. Граблей же в сетевом деле много. Ну во первых есть случаи от которых циска не спасет, потому что не в ней дело.

К примеру у вас наружу точно гигабит? Неплохо былоб проверить, iperf вам в помощь. Может кто что еще посоветует. В том что вам плохо может быть виноват и провайдер (потери на внешнем). Задержечки посмотреть трейспасом, соединения проверить, свичи опять жеж косячить могут (потери на внутреннем).

Есть еще одно нескромное предположение. А поделим ка гигабит тупо по более 1500 юзерам. Получается в районе менее 700 килобит на брата. Это ежели они вежливые и любят поровну делиться :). Ежели хотя бы у 10 юзеров совести нет (что не исключено), то какой нить торрент легко заберет канал, оставив остальных участников процесса с песочными часами вместо нета (что впринципе верно, ибо нефиг вендузятникам в сети делать :)). Судя по поверхностному описанию проблемы, полоса у Вас не нарезана. В принципе ежели при таком положении вещей с циской так же поступить, то есть вариант потратить пару тройку килобаксов на тот же результат. А начальство этого не очень любит.

Карточки мегабитные, нагружены на треть. Подозрительно как то. Мой любимый файловик 900 отдает легко, при более скромном железе. Что с памятью? Как диски нагружены? Что top говорит по поводу iowait ? Неплохо былоб некий мониторинг организовать местными средствами, потому как по сети на рутер в пике не пролезешь.

Ну и еще с цисками засада. Потому как доткнуть нечто внутрь, или навесить непредусмотренный функционал будет проблематично, а при неправильном выборе и невозможно. ИМХО Лучше поискать в нете сборище цискарей.

ЗЫ
Пусть меня щаз забросают старыми цисками, ну не верю я, что "жалкая" поделка в 60 килобаксов со сравниммым по потреблению с атомом процом при должном подходе уложит полноценный квад. Для этого надо как минимум килобаксов под сто.

Где-то читал, что это значение должно быть степенью двойки. Менять значение только если в этом есть необходимость.

По существу, не имея никаких существенных данных - менять сетеывые на базе Intel 82576. И разность нагрузку на разные машины. Уберите для начала с этого сервера биллинг и его базу. Сбор трафика перенесите на ipt_netflow - он грузит систему гораздо меньше ipcad.