Drill

Если это Mikrotik CHR и лицензия "free", то скорость интерфейсов ограничена 1 Мбит/с
1 Мбит/с = 128 Кбайт/с
3.8 МБайт = 3891,2 Кбайт
3891,2 Кбайт / 128 Кбайт/с = 30,4 сек (в идеале)
А реально так и будет ~35 сек

Упрощенная схема прохождения пакетов.

:local IPprefix 192.168.0.1/24;
:local IP [:pick $IPprefix 0 [:find $IPprefix "/"]];
:local NETprefix ([:tostr ([:toip $IP] - 1)] . "/24");
:local NETprefix ([[:parse ":return $NETprefix"]]);

Это настраивается на конечных устройствах (планшеты и обычные рабочие станции). В windows надо в свойствах подключения снять снять флажок с "Использовать основной шлюз в удаленной сети".
В планшетах в свойствах VPN надо прописать маршрут в локальную сеть (это для андроид). В IOS уже отсутсвует PPPTP.

Создайте свое правило ниже существующих, и отключайте по одному вышестоящие правила. Сразу проверяйте работоспособность той сети, правило для которой отключили.

Не хотелось бы чтобы это отразилось на сотрудниках

Если ошибетесь в правиле, все равно отразится.