Como é difícil descobrir esse tipo de coisa, seria bom pegar uma segunda RB e fazer uma parte da rede autenticar ali, e acompanhar se também vai ocorrer o comportamento indesejado. E assim ir mitigando o problema. Lembrando que o keepalive tem de ser de pelo menos 60 segundos, mtu no lado do servidor de no máximo 1480... Eu sofro pouco com isso, eu uso Accel-ppp e meus clientes padronizaram um único modelo de roteador, que agora é o trendnet com suporte a dual-stack, muito sossego...