Дмитрий

Для начала я бы запустил трейс до нужного хоста, чтобы убедиться в правильных маршрутах. Дальше поверил доступность нужного порта телнетом со своего пк и с пк в сети целевого хоста. Если порт с своей локалкеи есть, а из моей не работает, значит настройка микротика виновата. В вашем случае файрвол и нат на обоих концах посмотреть надо.

Блок AllowedIPs подразумевает разрешенные адреса сетей или хостов, с которых можно подключаться. В вашем случае 192.168.1.1/16 или/24 не является валидным адресом сети или хоста. Вариант с маской /32 имеет право на жизнь, но раз это адрес хоста, может быть wireguard ждет его без маски, просто 192.168.1.1

Хотеть интернет и не хотеть ДНС это как ловить рыбу и не хотеть насаживать червя на крючок. ДНС преобразует понятные вам буквы в понятные компьютеру цифры. Никакой гугл/яндекс и т.д не откроется без днс

Я правильно понимаю, что первый маршрутизатор (gpon) сам себе шлюз? Это как? Интернет работает где? Из какой сети и как обращаетесь к серверу?

Чтобы получить доступ к вашему компьютеру, у него должны быть открыты какие-нибудь порты для входящих подключений. По умолчанию, брандмауэр Windows все блокирует, в базе даже ping до нее не ходит. Так что тут можно особо не беспокоиться. Анализировать можно только тот трафик, котрый идёт через vpn, а это вряд ли весь ваш трафик в интернет, обычно в vpn заворачивается трафик до офисной сети. Это можно проверить по таблице маршрутизации "route print" - если 0.0.0.0/0 имеет шлюзом адрес vpn- интерфейса - значить все идёт в него.
Две винды на одном диске - обычно это не работает, винда любит единоличное владение компом. Линукс после винды встанет рядом, наоборот - нет.

Без конфига микротика сложно сказать. По крайней мере правило input не будет играть роли, т.к. обработка подключения пойдет в цепочке forward.