Юрий MikroTik

Растягивание L2 это не правильное планирование всего что можно.

Но если очень хочется:
Меняем /24 на /22
Тем самым каждая локация становится со своей /24, но /22 домене
Блокируем DHCP между сетями

EoIP подымаем между Lo интерфейсами OSPF и бриджуем в сеть.

По такой схеме EoIP работает поверх wireguard +маршрутизация Lo интерфейсов отрабатывает как нужно.

Чем так ужасен впн на виндоусе что надо делать отдельную виртуалку для подключения к серваку?

Тем что его не умеют защищать и без обновлений и прямых рук он дырявый.
Взломали винду - поимели всю сеть.
Отдельный шлюз все же будет доп.бастионом

В RouterOS 7 есть контейнеры, если микрот на современной архитектуре.
На этом контейнере можно делать все, что угодно, ибо это Linux.

Гос сайты блокируют доступ с ЦОДных адресов
Лечится сменой хостера, хватает ненадолго.

Global Protect может быть настроен на перебитие маршрутов

Не нашёл модели процессора, просто пишут 2 ядра, значит стыдно говорить.

1. Сделать именованный маршрут через туннель
2. Через Mangle отправлять трафик src адреса в этот Route Table

Обычно решается установкой обновлений Windows

Видит IP и порты, а так же объем. Может прочитать не шифрованный трафик.

По этому если опасаетесь, нужно использовать собственный сервер, но ваш трафик так же будет видеть хостинг оператор.

Пишется весь трафик:
Источник - IP/Протокол/Порт (если есть)
Назначение - IP/Протокол/Порт (если есть)
Время
Объем

Никто не пишет дамп, никаких ресурсов не хватит на это

Несколько вариантов:
1. Сменить порт SSTP сервера (если используется только для туннеля между этими двумя микротами)
2. Получить отдельный IP для WEB сервера (правильный вариант)
3. Маркировка (не рассматриваем)

У вас динамическй интерфейс, нужно его зафиксировать и в профиле vpn выставить only one

1. Берем VDS в Мск
2. Ставим CHR
3. Подымаем на нем нужный тип VPN
4. Подключаемся и радуемся

1. Ставим в центр микрот
2. Ставим в филиалы микроты
3. Подключаем филиалы по PPTP/L2TP IPsec/SSTP/OpenVPN (нужное подчеркнуть)
4. Настраиваем маршрутизацию (Static/OSPF)

Правильно будет подать на этот порт отдельную сеть, которую маршрутизируем в туннель.

Скорее всего на nas стоит сетевая маска, пересекающаяся с пулом vpn

В сторону добавления маршрутов или маршрута по умолчанию

RB5009 поддерживает контейнеры
Можно попробовать через него