Виктор Бельский

Используйте IPsec policy matcher, на вкладке Advanced->IPsec policy, чтобы указать, что трафик проехал через туннель и попал под одну из политик шифрования

Проверьте не стоит ли на интерфейсе ether3 ARP reply-only либо disabled. Должно быть enable

Повесьте на второй бридж ip из другой сети (напр. 192.168.2.0/24) и настройте dlink'у адрес из новой сети, ну и шлюзом ему пропишите адрес микротика (либо натируйте соединения в сторону dlink)

1. Настройте vrrp на lan интерфейсах роутеров
2. Повесте на vrrp интерфейс нужные ip адреса (на мастере и на бекапе)
3. Настройте netwatch на что-то очень доступное в Интернете (гугл, яндекс DNS)
4. При сработке netwatch, в секции down, тушите vrrp интерфейс, а при UP поднимайте его

Судя по маку, это какая-то камера от Vivotek. Она запрашивает у DHCP сервера ip адрес, но по каким-то причинам ответ от него не доходит до адресата:
- либо камера не исправна
- либо у вас несколько DHCP серверов в сети
- либо на свичах включен dhcp-snooping, но настроен криво.

1. Создать виртуальные интерфейсы wifi для двух локальных сетей и два для гостевых.
2. Объединить в бридж нужные lan и wifi интерфейсы
3. Присвоить каждому бриджу к которому подключены "хабы" ip адрес из сети 1 и 2 соответственно (адресация разумеется не должна пересекаться), настроить для этих интерфейсов dhcp сервера.
4. Настроить отдельный dhcp для гостевых wifi (опять же, сети должны отличаться)
5. Настроить nat и правила фаерволла запрещающие хождение пакетов между сетями.
6. Настроить маркировку для пакетов из 2-ой гостевой сети и на основе этих меткок сделать отдельный default route где шлюзом будет vpn интерфейс, ну и nat для него нарисовать.

GRE over IPSec отлично справляется, overhead меньше чем у EoIP, хотя разница практически не заметна.

Задействовать службу маршрутизации и удаленного доступа на сервере и если для сети 2 этот сервер не является шлюзом по умолчанию, то на клиенте (сеть 2) добавить маршрут в сеть 1 через этот сервер.

Я предполагаю, что из-за кластеризации, у вас один юникастовый mac адрес для двух файерволлов, смените его на мультикастовый, чтобы свитчи рассылали его всем-всем-всем

Можно пробросить через ssh туннель, если на vps1 включен port forwarding (по умолчанию он включен)
ssh -f -N -L 22022:vps2:22 username@vps1
ssh -p 22022 username@localhost

ip firewall mangle маркируете (mark routing) трафик гостевой подсети в цепочке prerouting, потом создаете маршрут 0.0.0.0/0 через шлюз провайдера и указываете в этом маршруте метку гостевой подсети. Ну или маркируете трафик локальной сети и отправляете пакеты с этой меткой в туннель, а немаркированный трафик - в шлюз по умолчанию, как вам больше нравится.

1. Добавляете маршрут 0.0.0.0/0 через внутренний адрес удаленного микротика и ставите ему distance больше чем у текущего маршрута по умолчанию (например 5).
2. Добавляете роут к внешнему адресу удаленной точки, через шлюз провайдера. Иначе сам туннель не сможет установиться.
3. Отключаете дефолтный маршрут через провайдера, автоматически становится активным шлюз через второй микротик, потом вновь включаете дефолтный и вновь ходите в инет через ваш внешний канал, а второй не активен.

З.Ы. Ну и смотрите правила firewall и nat, на обоих концах, чтобы они разрешали хождение в инет через туннель.

Hairpin NAT вам в помощь.
src-nat, scr - 192.168.2.0/24 , dst - 192.268.2.102, dst port - 5000, action - masquerade.

Т.к. свичи у вас не управляемые, то про dhcp snooping можете забыть и единственное решение для вас - найти то устройство, на котором работает второй dhcp сервер. Начинайте методично отключать от центрального свитча патчкорды и проверяйте. Для ускорения поиска, можете по мак адресу определить производителя устройства и сузить область поиска.

З.Ы. Ну и ознакомьтесь с основами локальных сетей, про широковещательный домен и маршрутизацию.