pr0l

2011 - 20 мегабит упираются в проц по ipsec
ccr1009 70-80 мегабит, дальше в проц.
Замеры производил лично на обоих железках при скорости канала 100 мегабит. Подключение l2tp+ipsec

так вы ip route 168.1.0.0 255.255.0.0 10.20.1.2 у вас маска 16 на всю подсеть. Укажите явно
ip route 168.1.20.20 255.255.255.255 10.20.1.2