Дмитрий

Для начала я бы запустил трейс до нужного хоста, чтобы убедиться в правильных маршрутах. Дальше поверил доступность нужного порта телнетом со своего пк и с пк в сети целевого хоста. Если порт с своей локалкеи есть, а из моей не работает, значит настройка микротика виновата. В вашем случае файрвол и нат на обоих концах посмотреть надо.

В Микротике проблемы не вижу, скорее всего надо смотреть как подключены TP-Link-и, в какой порт. Может помочь переткнуть аплинк роутеров из синей дырки (WAN) в желтую (LAN)

Правила порт-нокинга надо строить в обратном порядке, т.к. правила терминирующие - обработка пакета прекращается после срабатывания action - add src to address list
Сначала проверка на Knock2
Потом на Knock1
А Knock3 у вас вообще в другой цепочке, поэтому неважно уже где он будет относительно инпутов

Какое из ваших устройств отдает линк телефону? В любом случае вам нужно на два порта вешать влан - входящий от роутера и исходящий к нижележащим устройствам

На сайтах подобных программ всегда пишется какие порты оно использует. Блокируйте на микротике все подключения на эти порты.
Как вариант, мы боролить с тимвьюером с помощью днс - на днс-сервере локалки адрес teamviewer.com резолвили на адрес роутера или 127.0.0.1

Если в вашем клиентском конфиге есть раздел tls-crypt

<ca>
-----BEGIN CERTIFICATE-----
"some key"
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
"some key"
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
"some key"
-----END PRIVATE KEY-----
</key>
<tls-crypt>
-----BEGIN OpenVPN Static key V1-----
"some key"
</tls-crypt>

- такое конфиг может не работать.
Зависит от версии прошивки микротика. Но вроде в 7 версии оно так еще и не заработало.

Объясните в чем смысл строчки

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=TUN

Зачем маскарадить трафик идущий в бридж? Это вполне может быть причиной ваших проблем.
И непонятно, зачем засовывать wireguard-out в один лист с входящими коннектами, если потом это все еще и в бридж собирается.

Что при этом пишется в логи? Включите логирование ospf и понаблюдайте. Без дополнительной информации можно долго гадать.

Попробуйте поиграть с размером MTU на портах

В чем смысл транка между микротиком и циской? Если циска будет дхцп-сервером, не обязательно отдавать эти сети на микрот, можно сделать циску шлюзом внутренеих сетей и дать ей гейтом адрес микрота для выхода в интернеты. Внутренний трафик на микроте не будет виден, т.к. все широковещательные пакеты не выйдут из-за циски.

Объединяете все порты микротика в один бридж, включаете на нем Vlan filtering, создаете вланы поверх бриджа, применяете на порты - пример можно посмотреть тут

Как ведет себя trace при этом?
Попробуйте также указать маршрут не через интерфейс wg а через IP явно

На основном роутере надо указать маршрут до сети 192.168.88.0/24 через внешний адрес Микротика. На микроте в файрволе должно быть правило разрешающее forward соединения с Wan -порта без NAT

Если 192.168.13.76 работает как шлюз для сети 10.222.231.0 - достаточно будет маршрута на нем до 192,168,0,0/24 через 192.168.13.1 и на том конце маршрут обратно - до 10.222.231.0/24 через туннель

Попробуйте заменить in-interface на dst-address=172.16.16.25

Теоретически, второй впн может делать все что нужно, если ему никто не мешает. Если на вашем микротике настроен файрвол с запретами ходить из второго впн в локалку - надо будет править его. Надо бы посмотреть конфиг - Файрвол, Маршруты, Маркировку.

На бридже wifi-ether2 случайно DHCP не настроен? Ну и с конфигами было бы проще разобраться