Дмитрий

Для начала я бы запустил трейс до нужного хоста, чтобы убедиться в правильных маршрутах. Дальше поверил доступность нужного порта телнетом со своего пк и с пк в сети целевого хоста. Если порт с своей локалкеи есть, а из моей не работает, значит настройка микротика виновата. В вашем случае файрвол и нат на обоих концах посмотреть надо.

В Микротике проблемы не вижу, скорее всего надо смотреть как подключены TP-Link-и, в какой порт. Может помочь переткнуть аплинк роутеров из синей дырки (WAN) в желтую (LAN)

На роутере должен быть маршрут до впн-сети через впн-сервер. И на впн-сервере должна быть включена маршрутизация

Правила порт-нокинга надо строить в обратном порядке, т.к. правила терминирующие - обработка пакета прекращается после срабатывания action - add src to address list
Сначала проверка на Knock2
Потом на Knock1
А Knock3 у вас вообще в другой цепочке, поэтому неважно уже где он будет относительно инпутов

Проблему уровня L2 не решить средствами уровня L3

Какое из ваших устройств отдает линк телефону? В любом случае вам нужно на два порта вешать влан - входящий от роутера и исходящий к нижележащим устройствам

Что именно вы делаете через anydesk на своем домашнем компе вряд ли узнает, но использование anydesk обнаружить может

На сайтах подобных программ всегда пишется какие порты оно использует. Блокируйте на микротике все подключения на эти порты.
Как вариант, мы боролить с тимвьюером с помощью днс - на днс-сервере локалки адрес teamviewer.com резолвили на адрес роутера или 127.0.0.1

VLAN это не так сложно, как кажется. Это несколько сетей в одном физическом линке. У каждой сети есть уникальный тег, чтоб можно было разделить где чей трафик. Коммутаторы и маршрутизаторы эти теги в пакетах видят и правильно обрабатывают, отправляя в нужную сеть.
На первом скрине - untagged member port - порт в котором данный влан будет идти без тега, это называется нативный влан, или как обычная ситауция без вланов вовсе. Tagged member port - порт в котором указанный влан будет идти с тегом - такой порт обычно называется транк - в нем может быть несколько вланов, без тега максимум один, остальные с тегом. Соответственно, Влан1 тегирован в портах с 1 по 8 и нетегирован в портах с 9 по 19. Влан2 с тегом в 24, без тега в 22 и т.д.
По второму скрину VLAN mode - trunk и hybrid - варианты передачи тегов без нативного(trunk) и с нативным(hybrid) вланом. То есть в гибридный портах всегда есть влан без тега, остальные с тегом. В транках все с тегом - про это написано в стоkбце со значениями Tagged only. Access port - порт без тега, с одним вланом

Ну а что именно накрутили ваше провайдеры с такой конфигурацией и количеством оборудования - только им известно

Если в вашем клиентском конфиге есть раздел tls-crypt

<ca>
-----BEGIN CERTIFICATE-----
"some key"
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
"some key"
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
"some key"
-----END PRIVATE KEY-----
</key>
<tls-crypt>
-----BEGIN OpenVPN Static key V1-----
"some key"
</tls-crypt>

- такое конфиг может не работать.
Зависит от версии прошивки микротика. Но вроде в 7 версии оно так еще и не заработало.

Что за железка работает интернет-шлюзом? Вряд ли кто-то в здравом уме будет запрещать ходить в интернет на 80 и 443 порт

Современный хабр qna так разленил пользователей, что им лень в гугле набрать чтото типа

site:habr.com современный интерфейс лень пользователя

И хрен знает, что вообще нужно пользователям, но смысл как-то так есть

Блок AllowedIPs подразумевает разрешенные адреса сетей или хостов, с которых можно подключаться. В вашем случае 192.168.1.1/16 или/24 не является валидным адресом сети или хоста. Вариант с маской /32 имеет право на жизнь, но раз это адрес хоста, может быть wireguard ждет его без маски, просто 192.168.1.1

У вас маска сети назначения не обозначена - 192.168.127.0 видимо должно быть /24
Непонятный адрес 192.168.51.0 - это опечатка на схеме или тоже имеет место быть?

Объясните в чем смысл строчки

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=TUN

Зачем маскарадить трафик идущий в бридж? Это вполне может быть причиной ваших проблем.
И непонятно, зачем засовывать wireguard-out в один лист с входящими коннектами, если потом это все еще и в бридж собирается.