Вам нужно смотреть в сторону серий: ISR 800, ISR 1000​, ISR 4000
Например:
Cisco 886VA-K9
Cisco ISR 4321 (ISR4321-SEC/K9)
Cisco C1111X-8P (C1111X-8P)
Последние два немного не вписываются в рамки вашего бюджета.
А позже для остальной инфраструктуры докупить коммутаторы L2, для камер L2 с PoE, все это есть у Cisco.

Хоть вопрос и старый, но для меня он актуален. Перерыв кучу форумов и статей нашел такое решение:
без установки старой версии openssh нужно добавить в конфиг следующие строчки:
#sudo nano /etc/ssh/ssh_config

Host 172.16.113.12
        PubkeyAcceptedKeyTypes +ssh-dss
        HostKeyAlgorithms=+ssh-dss
        KexAlgorithms diffie-hellman-group1-sha1
        Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc

Я тоже не вижу проблемы, просто все настойки будут повторятся с изменением интерфейсов и адресов
1) Создаете еще один бридж LAN2 и вешаете на него IP 192.168.10.1
2) Создаете второй DHCP-сервер
3) Создаете все те же правила фаервола, только меняете 192.168.88.0 на 192.168.10.0 и PPPoE1 на PPPoE2
4) NAT отдельно для каждой сети с указанием src-address=192.168.88.0/24 и src-address=192.168.10.0/24 соответственно
5) Блокируете трафик между сетями:
/ip route rule
add action=unreachable dst-address=192.168.88.0/24 src-address=192.168.10.0/24
add action=unreachable dst-address=192.168.10.0/24 src-address=192.168.88.0/24
/ip firewall filter
add action=drop chain=forward dst-address=192.168.88.0/24 src-address=192.168.10.0/24
add action=drop chain=forward dst-address=192.168.10.0/24 src-address=192.168.88.0/24

Обновил Router OS до актуальной версии 6.47.1 и всё заработало как надо.