Юрий MikroTik

1. Включить на bridge-lan proxy-arp (плохой вариант)
2. Выдавать впн клиентам другую сеть и работать через маршрутизацию (правильный вариант)

Можно только разделить vpn на группы и разрешить сетевой доступ на шару только конкретным группам.
Внутри шары по папкам - если только там есть ограничения по сетям. Это вопрос к системе хранения.

Телефонию можно вывести в отдельный Vlan через Option132
Сетевое оборудование убрать в менедж vlan

Остальное трогать себе дороже

Внутри L2 идет общение по мак адресам напрямую.
Вам либо дробить сеть на Vlan, либо делать firewall на самих VM.

src-address-list=youtube_adress_list

Поменять на dst-address-list=youtube_adress_list

Так же не вижу NAT в сторону vpnusa

Значит выше разрешен это трафик
Покажи все правила выше него

Клиент VPN должен сам направлять трафик в туннель
Либо надо переходить на OpenVPN/IKEv2 где есть пуш/сплит маршрутов клиентам

Вам нужно настроить маршрутизацию между офисами без NAT

Windows доверяет CA который выпускает сертификаты на MikroTik?
Все нужные сертификаты установлены?

1. На клиенте прописать маршрут по умолчанию
2. На сервере сделать NAT и разрешить сеть ща ikev2 выходить за WAN интерфейс

Фильтр работает только на таблицу маршрутизации данного устройства, проходящие через него маршруты не проходят фильтров и передаются дальше.

Вариант - делать отдельный OSPF Instance, тогда маршрутная информация не будет передаваться.

Странная схема
1. Можно попробовать сделать bridgeWAN
Добавить в него 2 порта. Получится петля, которую разрулит RSTP, если оборудование провайдера позволит это сделать.

2. Либо договориться с провайдером на LAG интерфейс, но в случае WiFi моста это не будет работать адекватно. Тут только режим active/backup.

3. Городить скрипты, которые будут проверять наличие линка к провайдеру.

4. Просить дополнительные адреса, ставить второй маршрутизатор и делать VRRP

На коммутаторах разрешены данные тэги Vlan?

Netinstall должен помочь с памятью
Если AX3 новый, лучше вернуть по гарантии

PCC балансировка должна помочь

Нужна EAP авторизация через домен
По участию в группе безопасности выдается доступ, а проставив срок жизни учетной записи - доступ сам отвалится