JaHher

В филиале видно только тех клиентов кто в ручную указал в офисе в виде шлюза сам микротик и наоборот.

А почему не указать на DHCP сервере выдавать шлюзом адрес микротика?

Все просто!
Поднимаем прокси и добавляем правило в Access:

/ip proxy
set enabled=yes
/ip proxy access
add action=deny redirect-to=site.ru/папка/следующая_папка/index.php

Ну и конечно

/ip firewall nat
add action=redirect chain=dstnat dst-port=7777 in-interface=wan protocol=tcp to-ports=8080

Для начала

/ip firewall mangle
add action=mark-connection chain=input in-interface=ether1 new-connection-mark="isp1 in" passthrough=no
add action=mark-routing chain=output connection-mark="isp1 in" new-routing-mark=isp1 passthrough=no
add action=mark-connection chain=input in-interface=ether2 new-connection-mark="isp2 in" passthrough=no
add action=mark-routing chain=output connection-mark="isp2 in" new-routing-mark=isp2 passthrough=no

/ip route
add distance=1 gateway='шлюз ISP1' routing-mark=isp1
add distance=1 gateway='шлюз ISP2' routing-mark=isp2

Затем

/ip firewall layer7-protocol
add name=via_isp1 regexp="^.+(mail.***.ru).*\$"

ip firewall mangle
add action=add-dst-to-address-list address-list=isp1_addlist address-list-timeout=1d chain=prerouting disabled=no layer7-protocol=via_isp1 src-address=192.168.0.0/24
add action=mark-routing chain=prerouting disabled=no dst-address-list=isp1_addlist new-routing-mark=mail.*** passthrough=no
add action=mark-routing chain=prerouting disabled=no dst-address=!192.168.0.0/24 new-routing-mark=office passthrough=no

/ip route
add distance=10 gateway='шлюз ISP1' routing-mark=mail.***
add distance=10 gateway='шлюз ISP2' routing-mark=office

Доброго дня.
1) Физически я бы не стал, лучше по адресам клиентов:

/ip firewall mangle
add action=mark-routing chain=prerouting disabled=no dst-address-list new-routing-mark=via_crs125 passthrough=no src-address='адреса клиентов которых выпускаем через crs125'
/ip route
add disabled=no distance=1 gateway='шлюз ISP1' routing-mark=via_crs125

2) Тоже самое только via_rb951, шлюз ISP2 и адреса других клиентов
3) Создаешь по одному правилу на обоих микротиках для их ISP

/ip firewall mangle
add action=mark-routing chain=prerouting disabled=yes dst-address-list new-routing-mark=via_crs125 passthrough=no src-address='все подсеть'
add action=mark-routing chain=prerouting disabled=yes dst-address-list new-routing-mark=via_rb951 passthrough=no src-address='все подсеть'

И два правила в /tool netwatch:
- упал ISP1, down-script - отключаем правила из пунктов 1) и 2), поднимаем нужное правило из пункта 3); up-script - наоборот
- упал ISP2, down-script - отключаем правила из пунктов 1) и 2), поднимаем нужное правило из пункта 3); up-script - наоборот.

Hotspot тебе поможет. Поднимаешь, изменяешь html в файле login.html так чтобы эта страница тупо переадресовывала на нужный тебе адрес, отключаешь trial. Добавляешь нужный адрес в walled garden ip list и вуаля: никакого интернета и доступ только на твою страницу.