Как грамотно организовать VPN на MikroTik?

Однозначна ждать 3011. Для ваших нужд его хватит. По поводу Ipsec, насколько я помню там разрабы говорили что:

https://forum.mikrotik.com/viewtopic.php?t=102453#...
IPsec accelerator support for RB3011 is still being worked on, the HW acceleration is not yet supported for this model. The CPU is much faster than RB2011 even without HW accelerator.
Q: But HW acceleration will be supported in the near future?
A: We are working on it, yes.

Когда это будет конечно не очень понятно.
В филиал , я бы все же как и poisons советовал бы ставить с аппаратным ipsec. Hap ac lite явно не очень подходят для этих целей. На текущий момент это модели:

RB1100AHx4
hEX v3 (RB750Gr3 model only)
All Cloud Core Router (CCR) series devices
RB1100AHx2
RB1000
RB850Gx2 (only starting 2016, serial numbers that begin with number 5)
https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Har...

Самый доступный это hex v3.

3011 остается под вопросом , будет ли у него допилена эта возможность.

У меня стоит 2011 для офиса в 50 человек, должно быть достаточно. Но если настраивать много правил, то скорость может просесть. Но лучше обратить внимание на crs125-24g-1s-2hnd он по мощнее будет. Он у меня 50 пользователей отлично держит. Проблем нет.
В офис Mikrotik hAP лучше не ставить. Хотя бы 951 модель