Дмитрий Шицков

Невозможно (практически) без настройки каждого компьютера. Используйте доменные политики для централизованного применения настроек, либо ansible

На шлюзе фаерволл для защиты от внешних угроз
На свитчах - изоляция vlan как минимум
На корневом маршрутизаторе - фильтрация и маршрутизация vlan

Можно реализовать функционал, аналогичный fail2ban:
https://www.ekzorchik.ru/2018/03/i-disassemble-the...

Можно попробовать:
https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/...

content (string; Default: ) Match packets that contain specified text

Альтернатива: В этой теме пользователь PeterDoBrasil выложил вариант скрипта https://forum.mikrotik.com/viewtopic.php?t=75263
Дополнительно необходимо будет перехватывать и перенаправлять dns трафик на локальный dns микротика

Возможно, дело в вышестоящем:

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Пакеты проходят по этому правилу, т.к. уже установлены соединения.

Очень похоже, что у вас кто-то в сети торренты качает и это входящие подключения от пиров.

https://habrahabr.ru/sandbox/65236/

Не понятно, зачем натите на Астериск?
Помимо SIP-портов, нужно пробросить и RTP-порты.
externip у вас 194.xx.yy.zz

Лучше установить на VDS Sip-proxy, а не пробрасывать порты.

А ещё проще - арендовать белый IP у провайдера

Например, сперва пускаем всех разрешенных

/ip firewall filter add chain=input src-mac-address=ff:ff:ff:ff:ff:f1,ff:ff:ff:ff:ff:f2 action=accept

Остальным запрещаем всё
/ip firewall filter add chain=input action-drop

Осторожно, не запретите себе доступ к Микротику! Делайте всё в SafeMode!