Дмитрий

VLAN это не так сложно, как кажется. Это несколько сетей в одном физическом линке. У каждой сети есть уникальный тег, чтоб можно было разделить где чей трафик. Коммутаторы и маршрутизаторы эти теги в пакетах видят и правильно обрабатывают, отправляя в нужную сеть.
На первом скрине - untagged member port - порт в котором данный влан будет идти без тега, это называется нативный влан, или как обычная ситауция без вланов вовсе. Tagged member port - порт в котором указанный влан будет идти с тегом - такой порт обычно называется транк - в нем может быть несколько вланов, без тега максимум один, остальные с тегом. Соответственно, Влан1 тегирован в портах с 1 по 8 и нетегирован в портах с 9 по 19. Влан2 с тегом в 24, без тега в 22 и т.д.
По второму скрину VLAN mode - trunk и hybrid - варианты передачи тегов без нативного(trunk) и с нативным(hybrid) вланом. То есть в гибридный портах всегда есть влан без тега, остальные с тегом. В транках все с тегом - про это написано в стоkбце со значениями Tagged only. Access port - порт без тега, с одним вланом

Ну а что именно накрутили ваше провайдеры с такой конфигурацией и количеством оборудования - только им известно

Глядя в доку могу предположить, что вы попали в какое-то из ограничений, указанных в конце статьи. Там есть, что span destination не может быть eth0 например. Точно не ваш случай? В остальнои вроде все ок, должно работать.
Кстати, а чем смотрите траффик на коллекторе?

Предъявите скрин спидтеста провайдеру. Циска ваша ничего не режет, все что может влиять находится на пути к сераеру спидтеста

На циске подобное решается командой permit tcp established со стороны отвечающей сети. Она сможет отвечать, но не сможет начинать соединения. В вашем случае на vlan30 in
permit tcp 100.10.30.0/24 100.10.33.0/24 established
deny ip 100.10.30.0/24 100.10.33.0/24

Второе правило сверху, судя по названиям, вам все и режет. Ставьте deny ниже allow, обычно они обрабатывается по порядку сверху вниз

Можно в ваш маскарад дописать -d !192.168.10.0/24

В чем смысл транка между микротиком и циской? Если циска будет дхцп-сервером, не обязательно отдавать эти сети на микрот, можно сделать циску шлюзом внутренеих сетей и дать ей гейтом адрес микрота для выхода в интернеты. Внутренний трафик на микроте не будет виден, т.к. все широковещательные пакеты не выйдут из-за циски.

Раз все зависит от одного компа, в чем его уникальность? Может он включён а одну розетку с трансивером или на него ссылаются конфиги других пк?

Как ведет себя trace при этом?
Попробуйте также указать маршрут не через интерфейс wg а через IP явно

Вы предполагаете что DHCP сервер должен сам себе адрес выдать? Такого не бывает. Ну и непонятно, сидит ли сервер дхцп в той же сети, которую раздаёт? Адреса в этой сети я в конфигах не вижу

Это не ошибка, а предупреждение. На форуме openvpn советуют это сообщение просто игнорировать

На основном роутере надо указать маршрут до сети 192.168.88.0/24 через внешний адрес Микротика. На микроте в файрволе должно быть правило разрешающее forward соединения с Wan -порта без NAT

Можно попробовать сделать маппинг сетей типа такого https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/...

Нумерация нужна только человеку, чтобы не запутаться во всем многообразии вланов. Естественно привязываешься к октету, чтобы не забыть. Лишь бы не пересекались номера в разных сегментах

Если 192.168.13.76 работает как шлюз для сети 10.222.231.0 - достаточно будет маршрута на нем до 192,168,0,0/24 через 192.168.13.1 и на том конце маршрут обратно - до 10.222.231.0/24 через туннель

График, в зависимости от профиля работодателя - в обычном офисе админ-универсал и сети настраиаает и юзерам проблемы решает. Провайдер, дата-центр, крупный бизнес - тут больше играет профильность специалиста, к юзерам сетевика не отправят если смогут всё решить без него.
Удаленка вещь замечательная, если ты не уронил корневой шлюз - тут хочешь-не хочешь, и ночью поднимать поедешь.
С точки зрения навыков - понимание работы сетевых протоколов, маршрутизация, вланы, файрволы, сопутствующие сервисы, типа dhcp, dns, vpn

Какие настройки получает ноут ппи подключении? Адрес, маска, шлюз, днс.
Есть еще вероятность, что провайдер режет раздачу интернета