Вам вполне подойдет минимальный вариант - два коммутатора 2960 Plus (у обычных EoL в конце октября уже), например WS-C2960+48PST-S (это PoE) и WS-C2960+48TC-S с базовой L2 лицензией. Стека у них нет, но есть пара 1GE портов, чтоб между собой связать.

Маршрутизатор CISCO1941-SEC/K9 вас в принципе тоже должен устроить по всем параметрам, даже без модуля аппаратного шифрования (он около 2K$ стоит). Благо с недавних пор на SSL VPN отдельно лицензии покупать не надо.
Ну и SmartNET, как минимум к самому маршрутизатору.
Итого:
CISCO1941-SEC/K9 - около $3K по GPL (с сервисным контрактом).
WS-C2960+48PST-S - около $3K по GPL.
WS-C2960+48TC-S - около $1,3K по GPL.
Итого имеем 7300 баксов по GPL. Ну т.е. по факту, с учетом скидок, в 6 килобаксов влезете без проблем.

Вы совершенно правы. На маршрутизаторах с IOS трафик инициированный самим маршрутизатором не попадает под ACL.

Если есть такая критичная необходимость не пустить трафик наружу, то самый простой вариант - заворачивать целевой трафик на loopback интерфейс с помощью локального route-map-а.

ip local policy route-map

Использую mRemote. Умеет RDP, VNC, SSH, telnet и много всего. Строго говоря в случаи ssh является банальной оберткой к PuTTY, но умеет хранить пароли, и кучу конекций в виде дерева. Весьма удобен, жаль только проект закрыт.

На рабочем компе для ssh использую xShell, хорош абсолютно всем. Только не портабл, хотя может и есть такая версия — не искал.