20ivs

если уж сильно хочется почтовому серверу внешний IP, то юзай VLAN. на микроте access, на proxmox trunk, в CentOS снова access. а вообще внешний IP на почтовом серваке это не по "фен шую".
лучшим вариантом было бы вынести в DMZ reverse proxy и уже ему назначить внешний IP описанным выше способом. а с него трафик по нужным портам транслировать на почтовик. это по "фен шую".

посмотрите на А и Б вот эту колонку:

по идее там должно быть OutInterfaceList и оба провайдерских порта загнаны в один интерфейс лист.
а вообще, как правильно вам сказал Andrey Barbolin , сделайте export compact и вывод сюда в спойлер с заменой конфиденциальной инфы.

вот решение для вас за один клик на винде
на сервере поднимаете L2tp+IPsec.
на виндах выполняете скрипт powershell. (сохранить в тектовый документ и сменить расширение .txt на .ps1)

$VpnName = "ИМЯ_VPN_СОЕДИНЕНИЯ"
$gateway = "IP_СЕРВЕРА"
$psk = "КЛЮЧ-IPSEC"
$regp = 'HKLM:\SYSTEM\CurrentControlSet\Services\PolicyAgent' #if VPN server is behind NAT, otherwise comment out this line.

#add l2tp vpn
Add-VpnConnection -Name $VpnName -ServerAddress $gateway -TunnelType L2tp -AuthenticationMethod MSChapv2 -EncryptionLevel Optional -L2tpPsk $psk -Force -AllUserConnection -RememberCredential -SplitTunneling
New-ItemProperty -Path $regp -Name AssumeUDPEncapsulationContextOnSendRule -Value 2 -PropertyType 'DWORD' -Force

Останется только вбить логин\пароль при первом подключении. ключ IPSec уже будет интегрирован.

если эти несколько шлюзов приходят в Микротик, то на том порту, в который приходит шлюз вы прописываете его адрес, маску. и эти порты не нужно пихать в бридж.
в роутах указываете dst 0.0.0.0/0 gw соответствующий шлюз. со вторым так же. первый добавленный будет шлюзом по-умолчанию.

далее в firewall - address lists создаете список. например, имя - social, address - vk.com, Микрот сам определит все IP домена.
далее в firewall - mangle создаете правило prerouting - dst. address list - указываете нужный, action - mark routing
в маршруте на нужный интерфейс указываете routing mark - созданное правило на шаге выше.
и так по аналогии.

эти несколько шлюзов через свой свич воткнуты в Ethernet порт Микротика External.

тогда убирайте свои лишние "сегменты" и проделывайте вышесказанное с портом, в который приходит коммутатор. ни в какой бридж его пихать не надо. и это при условии, что они (шлюзы) доступны и пингуются.
машруты указываем как описано выше. правила маркировки так же.

ИМХО, вам надо на микроте прописать маршрут из 192.168.0.0/24 в 192.168.40.0/24 через 192.168.40.1.
скорее всего пинги с 192.168.40.1 до 192.168.0.1 доходят, но вернуться не могут, не знают маршрута.
а еще проверьте

192.168.0.1/24 via 192.168.40.2 dev ppp0

надо 192.168.0.0/24 via 192.168.40.2 dev ppp0

Более чем достаточно. Хотя, если уж брать, то все равно гигабит. Рано или поздно появятся у вас устройства с гигабитом, снова роутер менять? ИМХО, в наши времена лучше уж сразу брать гигабит.

Очевидно, надо на ноуте прописать маршрут в сеть склада

route add 192.168.1.0 mask 255.255.255.0 192.168.55.1

отдельный syslog-сервер в своей сети, а потом с него сливать на удаленный с определенной периодичностью.

попробуйте не раздавать Микротом никаких опций 15. просто укажите

DNS,WINS - 1.1.1.1

все остальное должен делать ваш FreeBSD5.

все-таки лучше взять управляемое оборудование и сделать маршрут из 192.168.250.0 в 192.168.1.0 и наоборот.

в самом микротике делать маршруты между сетями

Стоит ли вообще заморачиваться с переделкой сети?

в данном случае да.

не надо никуда ничего добавлять. всё дело в том, что у длинка после конфигурации эту самую конфигурацию надо еще и сохранить.


и после этого настройки не будут слетать после ребута.

в цисках после конфигурации забываете сделать тоже самое:
do wr

Если есть AD, то лучшим решением было бы развернуть NPS сервер в сети.

Вот и вот
Желательно наличие белых IP.

нашелся странный ответ на форуме Микрота от MikroTik Support.

if interface name is set as sfp-sfpplusX - it is capable of 1.25G and 10G, if only sfpplusX it is 10G only.

интересно было бы проверить =)
вообще посмотрите тему https://forum.mikrotik.com/viewtopic.php?t=80057

а еще некоторые в той ветке отмечают, что данное решение им помогло:

1. to achieve successful fiber link between CCR1036-8G-2S+ and CCR1036-12G-4S or any other SFP device you need to:

*) disable auto-negation and set interface speed to 1Gbps to routers on both sides.
*) re-plug module or disable/enable interface after these changes.

when this is done link should be active.

2. regarding lack of information "Tx Power" field I suspect that dmi information fetching from module failed. Reboot or power cycle should fix this state.

возможно вам покажется мой ответ примитивным и прочее, но Layer7 и маркировка пакетов от этого спасают.
не решение, но хороший пример откуда плясать