АртемЪ

Но ПК не может подключиться к интернету, имя в ручную выданный IP.

Значит настройки неправильные.

Вместо этого получаю левый IРv4-адрес автонастройки

DHCP недоступен.

Пойдет любой файервол - блокируете диапазоны адресов и трафик закрыт.

Как настроить VPN-подключение на Android со 100% защитой от утечки трафика напрямую?

Никак.
100% гарантию вам никто не даст.
А избежать утечки трафика напрямую грамотному специалисту не очень сложно.
Банальная работа с файерволом.

Нужен ли бизнесу собственный Web Server?

Такой вопрос нужно владельцу бизнеса задавать, а не на форуме.
Кто же тут знает что там нужно или ненужно какому-то неизвестному человеку?

Я хочу узнать, действительно ли это так или это все бутафория.

Тут одним снифером не обойтись.
Снифер просто покажет вам что передается.
Трафик может быть в открытом виде.
Может быть закодирован.
Может быть зашифрован.
Шифрование от кодирования отличить невооруженным взглядом невозможно.

Нужно заблокировать приложение Вконтакте в сети, какие у них ip адреса.

Для этого вам не нужно знать какие у них адреса, достаточно заставить резольвиться домен vk.com в адрес 127.0.0.1
В общем решайте это через DNS.

По каким критериям отобрать админа на удалёнку?

Вообще первый критерий при выборе админа - доверие.
А квалификация во вторую очередь.

То что нужно указать обязательно-
General

1. Указываете цепочку - dstnat ибо трафик входящий
   
2. Указываете протокол - например TCP
   
3. Указываете DST порт.
   
4. Указываете In Interfase - откуда собственно пакеты ловить
   

Action

1. Указываете действие netmap или dst-nat это собственно и есть проброс.
   
2. Указываете to adresses - на какой адрес в локальной сети идет проброс
   
3. Указваете to ports - на какие порты пробрасываете.
   

Остальное оставляете не заполненным, ничего лишнего заполнять не надо.
Все
Все сразу заработает, никаких перезагрузок не надо.
Еще момент - разрешающее правило должно быть выше запрещающих, если у вас есть выше правило которое запрещает трафик оно дропнет пакет раньше чем отработает разрешающее правило. Поэтому поднимайте выше.

Вы не указали интерфейс - работать не будет.
Вы не указали на какой порт пробрасывать - работать тоже не будет.

уже добавил правило srcnat

Зачем?

Ну и самое главное - вы уверены что у вас белый IP адрес?Есть немалая вероятность что он серый, и ничего пробросить не получиться.

На каждом ПК запущен софт, который работает в 60 потоков. Практически, это 500 офисных сотрудников, которые одновременно и без остановок серфят веб.

Нет, офисные сотрудники не могут одновременно и без остановок серфить веб.

Я предполагаю, что либо свитчер либо роутер просто не успевают обрабатывать все пакеты.

Вполне вероятно но далеко не факт, вероятнее, что тупо не хватает ширины канала.

Помогите понять, что требует замены: роутер или коммутатор (свитчер) ?

Замены требует роутер, провайдер, тариф или админ - надо смотреть по месту

Ну где-то может можно и разбивать там по этажам, но у меня не получалось.
Я обычно просто сквозную, главное чтобы уникальный номер был, и все, никакого смысла он не несет.
Надо узнать куда идет - глянул в табличке.

Можно ли как-то сделать так, чтобы был список MAC которым отдавался бы DHCP?

Можно.
Вы же сами об это сказали-

нашел возможность это делать, но в таком случае нужно сразу указывать соответствие IP<->MAC.

У меня много ПК в сети, я не хочу для каждого руками IP указывать на микротике.

Не хотите руками, можете ногами..
Кто же за вас укажет соответствие? Сам микротик придумать не может.

Что делаю не так?

Не рассматриваешь варианты решения проблемы.

Как сделать Wi-Fi клиент на Mikrotik?

Открываем винбокс или вебморду.
В верхнем левом углу видим кнопку Quick set жмем ее и открывается окно быстрой настройки.
В открывшемся окне быстрой настройки в его самом верхнем левом углу видим поле со стрелкой - выбираем там CPE Это собственно и включает режим клиента.
После чего находим нужную сеть в списке, вбиваем все явки и пароли для подключения к сети, не трогаем то, что непонятно, подключаемся и радуемся жизни.

Этот способ не единственный - но наиболее быстрый и простой. Для новичков и не специалистов. Рассчитан на уровень - "домохозяйка"
Если уровень повыше можете смело лезть во вкладку Wireless добавлять там интерфейсы ставить их в бридж, тыкать во множество вкладок и кнопочек со всякими страшными словами, и творить прочие непотребства.