Gregory

https://youtu.be/aL308xEw9-k?list=PLXr-HoBo2VtWJmm...
Презентация (PDF): mum.mikrotik.com/presentations/RU15/presentation_2...
Приложение (online): https://secq.ru/tiklan
GitHub (source code): https://github.com/deemru/secqru

оставить ключ соседу?

создать еще peers, и маршрутизацию между филиалами, как то так)

vpn )

pppoe-client в WAN лист добавлен?

или это измените
/ip firewall nat
add action=masquerade chain=srcnat out-interface-list=WAN

на
add action=masquerade chain=srcnat out-interface=pppoe-client

дайте ссылку на "хороший гайд"

вам лучше ssh tunnel использовать https://linuxhostsupport.com/blog/ssh-tunnel-using...

VPN
SSH tunnel

можете с этим голову поломать
https://habr.com/ru/post/208782/

конфиг покажите

/ip firewall filter
add action=accept chain=input dst-port=80 in-interface=pppoe-out1 protocol=tcp

in-interface= измените на свой входящий интерфейс
но открывать http опасно

изменить порт с 80 на другой у web можно в IP > Services

172.16.209.210 это что за устройство?

вам надо указать входящий интерфейс в правиле

/ip firewall nat
add action=dst-nat chain=dstnat dst-port=443 in-interface=pppoe-out1 protocol=tcp to-addresses=192.168.1.37 to-ports=443

где in-interface это ваш входящий интернет через которое заходит интернет

TP-Link работает по-другому, лучше чем любые другие роутеры.

дальше можно не читать

генератор конфига https://secq.ru/tiklan

у самого сервера шлюз прописан?

https://youtu.be/aL308xEw9-k
https://secq.ru/tiklan

в вашем случае вам я думаю поможет openvpn

начиная с 6.36 можно в адрес листы вводить доменные имена (например mail.ru) и он сам определит их ip.
Добавьте в firewoll > addres list сайты которые нужны и создайте правильно блокировать всё кроме этих адрес листов