AUser0

proxy_pass http://192.168.1.102/;

Мало настроить проброс трафика, надо ещё объяснить вашему HTTP-серверу, что https://176.16.16.25/ - это он и есть, и должен обслуживать это доменное имя (да, IP-адрес тоже является доменным именем). В зависимости от программы HTTP-сервера рекомендации будут разные.

На Mikrotik отслеживайте трафик например на порту 1234, дома запустите telnet 5.6.7.8 1234, соответственно вместо 5.6.7.8 укажите белый IP Mikrotik. Если нет трафика - значит один из провайдеров блокирует. Если с телефона трафик на 1234 есть - значит виноват домашний пров. Всё!

Дайте я, дайте я! Щас я...

В настройках может быть проблема!

P.S. Каков вопрос - таков и ответ.

70-C9-4E-54-03-2F, Загляните в Tools -> Packet Sniffer. Впишите туда "UDP" и 67-ой порт, и смотрите, какие пакеты откуда-куда приходят-уходят. Если правила работают - то будет логирован только приход пакетов на физический интерфейс, но не ответы на них... Поможет найти "мокрый пол".

P.S. Ну и логирование работы DHCP Server, тоже полезно видеть.

P.P.S. DHCP рассылаются броадкастом, может на них отвечает кто-то другой?

Понимаете ли, RDP - вещь весьма интимная. И поэтому стоит посмотреть встроенные правила Windows Firewall, тобишь Брандмауэра, что порт 3389 НЕ запрещён для НЕлокальной сети. По логике он как раз должен быть запрещён для НЕлокальной сети.

P.S. Можно проверить tcpdump-ом хоть на Микротике, хоть на Windows, что все пакеты долетают, но...

/zabbix.php? Серьёзно? А по локальному IP такой /zabbix.php прям существует, работает?

Если с #C на #A идёт PING, тогда просто прописываете адрес #A как default gateway у #C, и должно работать.

Ну или для проверки пропишите ROUTE для к примеру 8.8.8.8 через #A, и PING-уйте этот 8.8.8.8. Смотрите, как PING трафик пролетает через #A - ура, всё работает, можно прописывать default gateway, тоже будет работать.

Хммм, из-за второго правила все клиенты будут приходить на почтовик одним IP, что неудобно. Почтовые спамеры - они же скорострелы, по 50 писем в минуту - как нечего делать. И очень удобно таких гадов не фильтровать через анализ каждого письма в антиспаме, а тупо банить IP этих тварей. А в таком варианте настройки... сами понимаете. Лучше сделать принудительный проброс трафика с 25-го порта почтовика на первый микротик, тогда IP клиентов - сохранится.

У обездоленных компов IP-шка какая? 10.10.21.XXX, верно? И gateway выставлен 10.10.21.1, так? Или DHCP включён?

А почем бы на время проблем не поменяться на IP 192.168.0.2?
Разумеется исправив default gatewat в настройках DHCP-сервера этого Mikrotik-а.

В консоли Mikrotik сделать /export, и искать настройки для отваливающихся компьютеров (по IP ии MAC).

Можно отключить IP-адрес 12-го порта, а на отвалившихся компьютерах сделать arp /d *, но явно "это жу-жу - не спроста"...

А с самого центрального Микротика-2 эти копьютеры пингуются?
Если нет - надо на нем добалять route для этих подсеток. Или BGP.

Поскольку пакеты по DNAT проходят Mikrotik "насквозь", IMHO нужно разрешающее правило в FORWARD.