Maksim

В вашем случаем нужно нужно не MTU *бать, а по заняться MSS - точнее уменьшить его на 40 (если не изменяет память) от MTU. Wexter дал подсказку.

Найти и наказать:

https://wiki.mikrotik.com/wiki/How_to_autodetect_i...

C:\Users\user\AppData\Roaming\Mikrotik\Winbox

тут вроде лежит что нужно, надо попробовать синхронизировать.

TLS SNI

ПО середке Астериск на Paspberry PI?

У деф. мартшрута 0.0.0.0/0 метрику по выше (к примеру 10)
Нужный статический маршрут 127.127.127.127 в сторону тунеля с метрикой меньше 10

Eб*нутся туфли гнутся...

Это: Mikrotik + Ubuntu / OPEN
https://habrahabr.ru/post/227767/

Но можно еще:
Mikrotik + Mikrotik (VPS)
Mikrotik + Softether

И много еще какого говна можно, надо только "капнуть"

Ответ разработчиков:

you have to set the master interface as an interface in IGMP-proxy
configuration. When you add the interface to the bridge or set
master-interface for it - it becomes slave interface and many features of RouterOS will
stop working on that interface.

Вывод: если интерфейс мастер, надо вытащить его из какого либо бриджа, настроить маршрутизацию...

Проверю отпишусь

Так может проблема не DHCP а в голове?

Ваши слова:
Mac и android все норм........................................

Не наталкивает на мысли?

Ну как бы сразу напрашивается вопрос, накуя пробрасывать коли впн есть/и на оборот.
Время от времени - как часто? (как много работают пользователей в таком режиме через проброшенные порты?)
Лучший вариант - сидеть с wiresharkoм и нюхать. (можно как на стороне сервера так и на стороне клиента)

Попробуйте forum.mikrotik.com/viewtopic.php?f=2&t=73462 - сообщите результат.

В зависимости от вашего прова (и его перделок с блоками) выбирайте мне подходит SSTP потому что другое не пашет

Поднять метрику 0.0.0.0/0 ВПН к примеру 20
Опустить метрику адрес/32 ПРОВ к примеру 10

Примечание: как я понимаю в данном случае порт это не логический а физ. (оперируйте IP)

Поднимайте на белом ВПН сервер (тот же микротик OPENVPN, SSTP) микротики за натом подключайте к внешнему настраивайте маршрутизацию статическую.

Ну думаю вариантов масса, но я бы сделал так:

1.Отменил правило основной маршрутизации на микротике (т.е. правило 0.0.0.0/0 выключить)
2.Прописать только те маршруты которые вам нужны.

Способ в принципе корявый но работает.

Так мысли правильные - маршрутизация, попробуйте разобраться сами (для общего развития)

Вкратце:

Каждая из сторон должна знать сети друг друга (если не используется NAT)

Плюс совет рисуйте для себя (в первую очередь) топологию того что хотите сделать...а там же уже и ответ почти готов

Проблема в Вас, а точне в том как Вы предоставляете информацию.

Torch на исх. интерфейс фильтр 25 порт. TCP (по умолчанию) с IP с которого чаще всего идут запросы скорее всего инфицирован.

Плюс рекомендация пока закрыть на в ветке forward 25 порт TCP.

Руки отвалятся если сделать скриншоты?

1.IP-Firewall-Filter rules
2.IP-Firewall-NAT
3.IP-Routes