Юрий MikroTik

1. Отключить proxy-arp
2. Проверить маршрутизацию, чтобы не было по пути NAT

Соединить 2 микрота другим протоколом, затем прокинуть маршруты.

Думаю AD авторизация на VPN MikroTik решит проблему и ввод логина пароля не будут перебивать друг друга

1. Сделать явно разрешающее правило до tcp:443 на адрес QNAP
2. Если правило срабатывает и открывается - починено!
3. Если правило срабатывает и не открывается - ковырять Firewall QNAP (как мегакостыль можно сделать NAT в сторону QNAP, чтобы он думал что обращение идет с его сети.)
4. Если правило не срабатывает - искать где теряется трафик
5. Возможен косяк с MTU на туннеле.

chacha20 в любом случае будет быстрее, чем даже аппаратный IPsec в разрезе MikroTik

Keenetik с Vless клиентом на борту
Либо Vless на MikroTik в контейнере

1. Берём vds/vps
2. Ставим chr
3. Подымаем sstp server

Не забываем активировать триал и использовать валидный сертификат

Теперь есть аппаратный SSTP, проверено на RB5009

Константин Фролов, CRS125-24G-1S-2HnD больше 20-30Мбит на IPsec не вытянет
Пробуй l2tp без IPsec
На SSTP тем более не вытянет
Как вариант перейти на Wireguard
А еще лучше обновиться на что-то новое типа hAP AX2/AX3, RB4011/5009

За основу можно взять Проброс порта на хост без шлюза
На данная схема заведомо плохая, если ESP захочет сам связаться, то упрется в свой шлюз.

Значит выше разрешен это трафик
Покажи все правила выше него

Windows доверяет CA который выпускает сертификаты на MikroTik?
Все нужные сертификаты установлены?

1. На клиенте прописать маршрут по умолчанию
2. На сервере сделать NAT и разрешить сеть ща ikev2 выходить за WAN интерфейс

Растягивание L2 это не правильное планирование всего что можно.

Но если очень хочется:
Меняем /24 на /22
Тем самым каждая локация становится со своей /24, но /22 домене
Блокируем DHCP между сетями

EoIP подымаем между Lo интерфейсами OSPF и бриджуем в сеть.

По такой схеме EoIP работает поверх wireguard +маршрутизация Lo интерфейсов отрабатывает как нужно.

Чем так ужасен впн на виндоусе что надо делать отдельную виртуалку для подключения к серваку?

Тем что его не умеют защищать и без обновлений и прямых рук он дырявый.
Взломали винду - поимели всю сеть.
Отдельный шлюз все же будет доп.бастионом

В RouterOS 7 есть контейнеры, если микрот на современной архитектуре.
На этом контейнере можно делать все, что угодно, ибо это Linux.

Гос сайты блокируют доступ с ЦОДных адресов
Лечится сменой хостера, хватает ненадолго.

Global Protect может быть настроен на перебитие маршрутов