Pb_hard

Подключаться по внешнему IP надо из внешней сети,а не из локальной.
Для локальной сети обычно необходимо настраиваь и поддерживать "обратный nat"

Раз внешние пользователи могут подключиться к серверу по внешнему IP, значит проброс портов натсроен верно и делать что либо на Zyxel по идее не нужно

есть в ipoe механизмы воздействия (контроля) на пользователя каких нет в pppoe?

С такими вопросами - к психиатру :) PPPoE, IPoE - это все технологии подключения абонента к оборудованию провайдера (соответственно PPP over Ethernet и IP over Ethernet). Там нет никакого контроля (кроме того, который в биллинге)
Что касается работы-не работы трубы - провайдер точно так же ничего сделать не может. Все блокировки выполняются через ТСПУ (технические средства противодействия угрозам), которыми управляет РКН. Что он загрузил конкретному провайдеру - с тем и работает. Возможно, РКН просто настройки обновил - и труба отвалилась.

Настроить обратный NAT / harpin nat.
Либо смотреть по лок ip

1) как сделать так, чтобы через "Сеть 2", "рабочая" (Wi-Fi) шёл трафик ТОЛЬКО на определённые сайты/адреса (в принципе, список IP-адресов почти весь есть), и 2) весь остальной трафик шёл ТОЛЬКО через "Сеть 1" (ethernet), и, соответственно, никак не попадал в "Сеть 2"?

Оставляем Default gateway только через тот роутер, который "Сеть 1" (ethernet). На втором сетевом соединении шлюза по умолчанию быть не должно.
Прописываем частные маршруты на "ТОЛЬКО определённые сайты" через роутер в "Сеть 2", "рабочая" (Wi-Fi). Если к этим сайтам выполняется обращение по именам - все имена занести в файл HOSTS.

Всё собственно.

как оградить "Сеть 2" от попадания в неё трафика из "Сети 1"?

Убедиться, что служба "Маршрутизация и удалённый доступ" - остановлена.

не совсем разобрался с метриками в Windows (установлена Win10) - какие параметры нужно задавать для каждой из этих 2 сетей?

Забудь, это не твой случай.