Diman89

Перехватывайте DNS от юзеров, заворачивайте нужные адреса на нужные странички

Hairpin NAT вас спасет

ВОЗМОЖНО, купить белый IP-адрес у йоты (если статический - ещё лучше), пробросить порты на роутере

Если сомневаетесь - дефолтная конфигурация вполне рабочая и сносная - юзайте ее подправив под себя

Файрволлом на самом пк не вариант?

Потому что доменное имя надо резолвить в ip, а микрот этого не делает
Вы ж гугл по ip пингуете, почему Яндекс по имени?
Команда типа ping [resolve ya.ru] сработает (могу немного ошибаться в синтаксисе)

Для начала: вам провайдер выдает ip, который забирает себе микротик и дальше натит локалку. Вы уверены, что провайдер выдает/выдаст вам более 1ip-адреса?
А так: создаёте 2 бриджа: в первом все порты кроме wan и интерфейс wlan1, во втором - virtual ap и wan, на 2й бридж повесить dhcp-client

на них болтается интернет с подсетью 192.168.1.0/24

Его ip 192.168.1.100

С пятого порта микротика в первый порт длинка воткнут патчкорд

не сходится, одно другому противоречит

antifilter.download

если в файрволле отсутствуют запрещающие правила - микротик по-умолчанию разрешит трафик между подсетями, соот-но вам нужно сделать такие правила (запрещающие) и сделать в них исключение в виде NAS

L7-firewall

Найти правило,которое этот доступ блокирует и отключить его (либо изменить сделав исключение для требуемого)

Можно натить только разрешённый адрес-лист

Потому что 951й не способен полноценно работать с шифрованными туннелями, в нем нет чипа аппаратного ускорения шифрования
Даже с полностью отключенным файрволлом не факт что будет работать на полной скорости.
Меняйте железку

Поотключайте правила Firewall, Mangle (для маркировки для двух провайдеров сделайте исключение)
Используйте fast* из ответа выше
Если загрузка 100% - только менять роутер

add bridge=тут общий бридж interface=тут влан
не?
в команде interface=ether3 надо влан добавлять, а не физ.интерфейс?
или вообще удалить общий бридж и сделать порты независимыми

Гасить/поднимать сам порт, а не железку целиком

У меня Домру выдает ipv6 после включения в ЛК по dhcp на pppoe-интерфейсе

Конфиг по умолчанию? Там 1й порт WAN