Дмитрий

Firewall

на микротике нужно создать маршрут через туннель, а на фортике - обратный маршрут

Вам надо всего лишь узнать все ip адреса всех социальных сетей и их блокировать файерволом. Или же гонять весь трафик через L7 фильтры.

Это бета, используйте на свой страх и риск. Стабильность никто не гарантирует и даже не обещает.

DST-NAT и сервер вынести в отдельную подсесть

Возможно не верно настроен pbr. Нужно больше информации (хотя бы конфиг роутера)

Производительность коммутатора измеряется не пользователями

Маркировка и policy based routing

Никак. WG есть только в Router OS 7 dev version

Может. Но с настройкой придётся повозиться, если вы хотите использовать wi-fi и как CPE и как AP. Например по 5Ghz получать сигнал, а по 2.4 раздавать на свои устройства. Надо ещё убедиться что там действительно 2 wi-fi модуля, а не 1 работающий либо так либо так.

Дело в настройках firewall'а

Наверное у клиентов указан маршрут по умолчанию через VPN, а на цыске настроены маршруты. Соответственно нужно клиентам как-то сообщать маршруты до сетей 10.10.0.0/16

Роутеры таким не занимаются. Или ставьте балансировщик или просите второй адрес у вашего провайдера.

Для поиграться есть CHR free

Для начала стоит обновиться до актуальной stable или long-term версии. Похоже что вас проломимили\задосили.
Далее каким-либо образом выявляем зловредов(брутфорсеров) и заносим их адрес лист(тут !!нужно быть аккуратнее!!, что бы не прострелить себе ногу). Создаём правило в firewall raw и там блочим всех из этого листа.

Полоса доступа в интернет имеет очень много промежуточных узлов, из-за которых может происходить просадка. Провайдер обещает вам скорость до 100Mbps(если только вы не юр. лицо с соответствующим договором на гарантированную полосу от провайдера), и то только в пределах своей сети . Если какой то сервис в интернете медленно отдаёт данные, то провайдер в этом не виноват.
Так же важно понимать что wi-fi крайне нестабильная среда - возможны просадки из-за зашумлённости радиоэфира.

Что сделали, что не получилось?

3. либо команда набирается из текушего меню, либо от корня меню. Это примерно как в *nix отличается путь log/syslog от /var/log/syslog (относительный и абсолютный путь)