blackbeard

Ссылка на ограничение доступа к админке. Можно прописать конкретные адреса/подсети.

Как я понял, филиал(Х) видит офис, филал(У) тоже видит офис, а трафиком два филиала обмениваются через офис, а вы хотите напрямую?
Есть такая технология проприетарная, DMVPN называется, правда не знаю, есть ли что-либо подобное у микротик.