Дмитрий

Логика такая - если через R1 сайт не доступен, то включаем правило маркировки и трафик маршрутизитуется через R2.
Наскриптовать это можно с помощью ping и fetch, ну и засунуть в scheduler для регулярной проверки или использовать netwatch. Условия маркировки - dst address

но в таком случае нужно сразу указывать соответствие IP<->MAC

Это правильное решение.
Или можно добавить список MAC'ов в /ip arp, а на брижде включить arp=reply-only

Никак. Решение о том к кому подключиться выбирает клиент

А почему вы вешаете dhcp-client на внутренний bridge, а не на WAN?

на клиенте должен быть маршрут в вашу сеть через тунель

DLNA работает в одном L2 домене.

Сделайте два разных правила src-nat

Если 5ГГц не интересуют, то возьмите пару 951G. Или пару hAP ac2. Одна точка доступ на 3 этажа будет хуже работать. Ещё вариант - одно центральное устройство и 2-3 cAP/cAP-lite

А в докуметации смотрели?

Это свитч, а не роутер. При маршрутизации канальной скорости не получите.

на микротике №2 указать машрут до этих сайтов через адрес микротик №1 в туннеле

А кто будет делать src-nat для гостевой сети?

Use src-nat Luke

Дефолт профиль на то и дефолт - он один. При создании юзера можно указать его профиль

Помещаете необходимые порты в отдельный bridge, вешаете на него dhcp сервер и пишете правило src-nat для выхода в интернет.

Поднять ipsec тунель между офисами 2 и 3. Настроить PBR. Profit!

Если вы делите физически сеть на два сегмента, то без смены ip адресации не обойтись.