Используете ли Вы аппаратный файрвол в организации?
Конечно да. 
Cisco.
Приличных размеров (сколько-то тысяч сотрудников).
Да никаких минусов. Работает стабильно.
TMG уже end of life. Это уже причина в скором времени менять его на что-нибудь. О других причинах сказать ничего нельзя, потому что вы не озвучили требования.
Интересно, что практически все организации, которые подключены к интернету через тот или иной аппаратный роутер, автоматически используют встроенный в него фаервол. В прочем, и большинство домашних пользователей тоже.

У любого вендора есть модели практичски под любые требования. В свое время довелось поэксплуатировать DFL-200, с непривычки было сложно его запустить, но потом все стало хорошо, нареканий к стабильности не было. Все зависит от потребностей и размера подключаемой организации. Если я правильно понимаю, то TMG будет достаточно сложно заменить, если он глубоко интегрирован в AD. Скажем, тот же DFL совершенно не умеет общаться с AD, т.е. единого пульта управления пользователями с его участием сделать не получится. 

Возможно, есть какие-то модели, которые умеют более тесно дружить в Виндой. Но я считаю, что аппаратный фаервол должен использоваться для управления трафиком не выше уровня TCP/IP. Все остальные права доступа и прочие прокси уровня приложений нужно выносить в софт, который крутится на сервере.