vreitech

если вкратце:
- отключить на кинетике NAT и настроить маршрутизацию между 192.168.2.0/24 и 192.168.88.0/24;
- настроить на микротике маршрутизацию между 192.168.2.0/24 и 192.168.88.0/24 и настроить NAT подсети 192.168.2.0/24 в интернет.

> нажимаю enter он отправляется на роутер
он отправляется первым делом на матрицу коммутации подключённого с противоположной стороны кабеля устройства: роутер это или коммутатор - не принципиально. главное - что речь не о сети из двух компов.
> ,роутер ищет в подключениях такой же mac адрес
встроенный в роутер коммутатор ищет
>не находит ,роутер по патчкорду отправляет кадр на свитч на чердаке
встроенный в роутер коммутатор рассылает полученный ethernet-кадр далее по всем своим портам, к которым что-либо подключено, кроме того порта, с которого пришёл кадр, и, учитывая, что коммутатор не сам по себе, а в составе роутера, то ещё и кроме портов, которые в настройках роутера отнесены к другим широковещательным сегментам (т. е. к другой сети, к другому VLAN).
> ,свитч тоже не находит.куда перенаправляет свитч и как перенаправляет история умалчивает.
туда же, куда и в случае с коммутатором в роутере - на все порты, кроме порта-источника и портов, относящихся к другим VLAN (если свитч управляемый и поддерживает разбиение портов по VLAN). таким образом ethernet-кадр, будет распространятся по всей локальной сети от коммутатора к другим коммутаторам (и компам), и на каждом из них будет повторяться одна и та же процедура: при наличии в коммутаторе записи, соотносящей MAC-адрес назначения из кадра с каким-то портом коммутатора, кадр будет перенаправлен в этот порт, а при отсутствии такой записи - во все порты сразу, кроме порта-источника. если в этой локальной сети действительно есть комп с таким MAC-адресом - то кадр в конце-концов до него дойдёт, а если нету - кадр будет в итоге утерян.
> есть размытое объяснение что свитч перенаправляет его на какой то другой маршрутизатор районного далее городского уровня и т.д. перенаправляет вроде бы по wan сети но там скорость до 56 кбит/с а мне роутер выдает 100мб/с.
тут уже начинаются привирушки со стороны того, кто вам дал размытое объяснение.
если, как вы в самом начале упомянули, "есть какой то пакет езернета у которого есть какой то мак адрес получателя", то за предел локальной сети (т. е. через роутер) он не выберется. роутер, как и любое другое устройство уровня L3 (работающее с IP-адресами), принимает со своего встроенного коммутатора только кадры, MAC-адрес назначения в которых совпадает с MAC-адресом роутера, и отбрасывает все остальные. так что ни в какую другую сеть ваш кадр не попадёт, пока не переписать вами сказанное на "есть какой то пакет езернета у которого в качестве мак адреса получателя указан MAC роутера". вот в этом случае кадр попадёт на роутер, который извлечёт из него IP-адрес назначения и на основании своей таблицы маршрутизации направит его в одну из подключенных к нему сетей, подменив при этом MAC назначения на MAC роутера этой новой сети (т. е. того роутера в этой новой сети, на который он шлёт кадр), или прибьёт.
> хотелось бы послушать что происходит дальше
про то, что дальше в варианте "какой то MAC", я указал выше: не далее как в пределах одной локальной сети.
а если MAC указан правильный (а за это отвечает таблица маршрутизации компа, с которого отсылается пакет в начале), всё это повторяется какое-то кол-во раз в зависимости от длины маршрута, его правильности и наличия проблем в сети: с каждого нового роутера кадр шлётся на MAC следующего роутера, проходит через свитчи, и если нигде нет обрыва или иной неисправности, добирается до следующего роутера, на котором, в зависимости от IP-адреса назначения, роутер выбирает следующую сеть и меняет MAC назначения, или прибивает кадр, если в его таблице маршрутизации отсутствует маршрут до этого IP-назначения.
на литературу вам уже вроде скинули ссылок. там вы прочтёте и про все остальные возможные ситуации, такие как широковещательные кадры, зарезервированные мультикаст-адреса, другие зарезервированные адреса, ARP-кеш, ARP-прогрев, ARP-проксирование, различные вариации стандартов Ehternet-кадров и много чего ещё - общую схему я описал, но из неё есть эти и другие исключения.

если vlan'ы получились изолированными и каждый со своей адресацией - скорее всё сделано правильно.
теперь вам надо настроить маршрутизацию между всеми этими сетями на микротике и выдачу клиентам по dhcp шлюза по-умолчанию (т. е. выдачу IP-адреса микротика из текущей подсети в качестве шлюза по-умолчанию).

а что говорит ip r на роутере 1?

1. Применить побитовое "И" к маске подсети и IP A, и к маске подсети и IP B; сравнить результат. Если результат одинаковый - A и B в одной сети.
2. Послать в сеть широковещательный ARP-запрос с соответствующим вопросом.
3. Это вам известен лишь IP B, а роутеру известна его таблица маршрутизации, на которую он ориентируются при решении таких вопросов.

> как фаервол (Брандмауер) открывает порт
открывает - в общем неверное понятие. открывает порт всё-таки ОС по запросу приложения, которое хочет его слушать. а файервол в общем случае фильтрует порт: разрешает или запрещает по нему трафик (или часть трафика).
файервол сверяется со своей конфигурацией, и если в ней указано, что трафик на указанный порт должен быть разрешён, то он не препятствует его прохождению.
> как этот процесс контролируется технически
на процессоре исполняется код, который на используемой программно-аппаратной платформе способен препятствовать прохождению трафика на указанные в конфигурации порты/адреса/протоколы и т. п.

проблема при доступе в случае, когда клиент и сервер находятся в одной локальной сети?
при попытке подключения снаружи через интернет всё работает?
если на оба вопроса ответ "да" - нужна настройка NAT loopback на роутере:
https://en.wikipedia.org/wiki/Hairpinning
https://en.wikipedia.org/wiki/Network_address_tran...
если не работает ни снаружи, ни изнутри - скорее всего 80 порт на внешнем интерфейсе забрал себе роутер, ищите, как отключить.

VyOS. лучший centos - это debian.

если требуется доступ только к какому-то отдельному сервису на компе в локальной сети, то как правило проще всего пробросить нужный порт или нужные порты на маршрутизаторе. какие нужные в вашем случае - зависит от того, что вам нужно в глобальной сети от этого компа. как пробрасывать порт - зависит от модели маршрутизатора.

выглядит так, как будто бы установка маршрутизатора, подключение его двумя кабелями (по одному к каждому коммутатору) и настройка на нём маршрутизации между двумя подсетями должны решить вашу проблему.
как частный случай - настройка в качестве маршрутизатора одного из этих серверов и подключение его отдельным сетевым адаптером (физическим или виртуальным) к коммутатору другой подсети.

ну в целом да, вам надо пробросить некоторое количество портов на роутере для сервера, вернее, для астериска на нём. это должны быть порт, который используется на астериске для приёма SIP-трафика (обычно UDP 5060), и порты для приёма RTP-трафика (возможно это диапазон UDP 10000-20000, но тут правильнее смотреть в конфига астериска, как настроено по факту). при пробросе портов собственно указываются эти порты и IP-адрес хоста внутренней сети, на который они пробрасываются (сервера с астериском).
как пробросить порты - зависит от модели роутера.
также на сервере с астериском для каждого sip-аккаунта в sip.conf, который должен иметь возможность подключаться из интернета, вам скорее всего придётся добавить строчку nat=force_rport,comedia.
могут быть и другие нюансы: брандмауер, привязка астериска к интерфейсам. но угадывать это всё не интересно, я более привык отвечать по факту.
это всё если речь про интернет и проброс портов через NAT.

не заработает, вы не верно понимаете, как работает маршрутизация.
устанавливайте на vds прокси и используйте его.