Obsession

Попробуйте с MTU поиграть, хотя бы 1500 поставить.

У вас там куча коментов, не стал мешать.
Решается всё проще.
правило вида:

/ip firewall nat add chain=dstnat protocol=нужный_протокол dst-port=внешний_порт action=dst-nat to-addresses=локальный_адрес to-ports=локальный_порт

данное правило у меня благополучно работает на магистральном роутере, и пробрасывает порты для доступа к устройстван в сигменте, который за натом.

полисироутинг:
марка роута в роутах, мрка в манглах, использование адрес листов, и правила фаирвола на основе манглов - готово.
Нет, ну если сложно описал - спрашивайте, что именно сложно.

А проще повесить на мастер-порт сеть для абонов(Y.Y.Y.Y/24) и на негоже сеть для камер(Х.Х.Х.Х/24), микротику это не помешает работать, в фаирволе дать правила обшения между сетями и нарисовать маршруты. единственное! не будут раздаваться адреса по DHCP на оба диапазона, 2 "сервера" на один интерфейс вроде не запилить, но можно назначать статику отлавливая сессии на микротике.