АртемЪ

Да, конечно.
А как именно реализовать зависит от того как реализована балансировка и файловер.

У микротика мастер стартовой настройки сейчас заточен под домохозяйку.
Если дальше не лезть ничего сложного.
Если надо расширенные настройки - куча мануалов в сети.

В общем любой из микротиков подходящий по железу.
На кинетиках топовых конфигураций VPN клиент вроде есть, поэтому тоже можно попробовать, но настройки гораздо беднее.

В чем разница между CAPsMAN и MESH

CAPsMAN - механизм централизованного управления точками доступа. MESH - технология децентрализованной сети.

когда некоторые устройства подключены к разным точкам они не видят друг друга

Это уже проблема маршрутизации, а не WiFi. Нужно смотреть настройки маршрутизации в конкретной сети.

я неправильно настроил CAPsMAN

CAPsMAN вы может и правильно настроили, но указанная проблема к нему отношения вообще не имеет и зависит от того как вы настроили маршрутизацию.

Почему SOHO роутеры Mikrotik как правило не имеют внешней антенны, в то время как остальные производители ее ставят?

Есть роутеры с внешними антеннами, есть с внутренними.
Каждый выбирает как удобнее и технологичнее.
Внутренние ничем не хуже, и не лучше.

Зачем такие сложности если у микротиков есть WatchDog.
Настраивайте его и все.
В итоге если вам просто надо зайти и перезагрузить - вы сделаете это через winbox или через ssh.
А если вам нужно перезагрузить зависший микротик - это сделает ватчдог.

В какой точке настраивать Firewall в сети?

1. Не имеет особого смысла ибо железо дохлое, да и вряд ли там серьезные возможности по настройки файервола.
2. Вот тут и надо, ибо весь трафик идет в сеть через него.
3. Не совсем понятно для чего это нужно, но я исхожу из того, что по DHCP он отдает в качестве шлюза адрес микротика в который воткнут USB модем.
4. Возможно и тут если вам нужно внутри своей сети ограничивать.

где именно что нужно настроить в плане безопасности...

Перед тем как что-нибудь настраивать в плане безопасности надо четко определиться что вы собираетесь защищать, и от каких опасностей.
А то безопасность понятие растяжимое...

Для начала нужно промаркировать интересующий вас трафик в соответствии с перечисленными вами задачами.
После чего написать маршрут для маркированного трафика.

Вопрос некорректен.
Что лучше арбуз или апельсин? Примерно так же с вашим вопросом.

Для ваших целей - без разницы.

Первый роутер Mikrotik подключен к сети провайдера, к первому подключен кабелем второй Mikrotik, оба работают как точки доступа.

Ну судя по описанию проблемы у вас второй роутер находится за NAT'ом первого.

Варианты решения проблемы-

• Подключить роутеры нормально - соединить lan порт первого роутера с lan портом второго роутера, чтобы они были в одной сети, тогда такой проблемы не будет.
  
• Настроить на втором роутере маршруты до первого.
  

Ну начнем с того что роутер вообще никакого отношения к WiFi не имеет, и не умеет с ним работать.
Если вы говорите про SOHO роутеры - там в одном корпусе роутер, свитч, точка доступа WiFi и еще куча всякого хлама.

Если вы хотите получать доступ в интернет через WiFi вам нужен либо отдельный либо встроенный WiFi модуль.
Если вы хотите еще и раздавать по WiFi - нужен либо еще один WiFi модуль, либо использовать virtual AP.

Вообще существует такие с домашнем классе?

Да любой микротик с вайфаем умеет это. Настраиваем подключение к провайдеру по WiFi, NAT, делаем виртуальную AP и все пожалуй.

Обязательно он должен быть двух диапазонный?

Без разницы.

Какое WiFi оборудование взять для офиса?

Из дешевых - Mikrotik, ubiquiti, из недешевых ruckus.

Или что не так с Mikrotik?

Да все с ним нормально. Судя по описанию проблема либо в кривой настройке либо в перегруженном эфире.

Сейчас сеть построена на маршрутизаторе Mikrotik RB4011 в версии с WiFi и двух hAP ac Lite

Сложно судить о сети по такому описанию, но судя по всему у вас три точки доступа в одной комнате! Без всяких перегородок. Какая хоть площадь этого зала, как расположены точки, и что с мощностью?

Каждый AP настроен на свой канал как в 2.4, так и 5ГГц диапазоне, каналы не пересекаются.

Это невозможно. Каналы пересекаются.

Дополнительно настроено правило, отрубать от точек клиентов с уровнем сигнала ниже -80.

Вы логи смотрели, часто это правило срабатывает?

Устройства отрубаются и очень долго переподключаются, качество связи по Skype низкое, пинги даже до маршрутизатора иногда внезапно прыгают до 300 мс

Это нормальная ситуация для WiFi с перегруженным эфиром. Как только проблемы в эфире - увеличивается пинг, джиттер и потери пакетов.

Настройки уже все сотню раз перекручены, логи пересмотрены, ничего прям очевидного нет. В общем, посоветуйте куда глядеть?

Глядеть в первую очередь в сторону анализа эфира, грамотного размещения точек, настройки мощности, количества точек. Т.е добиться чтобы ваши точки не мешали друг-другу, и им не мешали другие точки доступа.

Взять точки помощнее?

Это прикол такой? На пятаке без перегородок, точки помощнее? Когда явно надо снижать мощность точек, вы собрались ее увеличивать???

Как сделать, чтобы не отваливался Wi-Fi на microtik?

Выяснить почему отваливается, а потом устранить причину.

В вашем случае есть сильное подозрение что эфир на 2.4Ггц сильно замусорен.

Хочу реализовать это всё с помощью свободных портов (например с 49001 до 49150) но не хватает знаний, чтоб сделать это правильно

Не совсем понятна суть вопроса.
Что там можно сделать неправильно?
Например если для винбокс -
Просто пробрасываете порт 49001 на порт 8291 маршрутизатор номер 1, 49002 на порт 8291 маршрутизатор номер два, и.т.д.

Можно ли организовать беспроводную, стабильную связь не менее 250 мегабит?

Нет.
1)Должна быть прямая видимость - никаких препятствий на пути сигнала.
2)Должна быть чистая зона Френеля - никаких препятствий в радиусе 2,2метра от прямой линии соединяющей точки.
3) 250-300мегабит можно выжать их хорошего оборудования на небольшой дистанции в многоантенной конфигурации. Но на мосту - не получится, тем более стабильно.
Сотку можно если 1, и 2пункты выполнены.