Клёвый Админ

Что-то вы путаете. Причём сильно и либо в описании либо в логике.

Вам выдана серая сеть? Ну то есть ваш провайдер маршрутизирует трафик в какую-то серую сеть с указанием вашего устройства как маршрутизатора этой сети? Если вам нужно выдать адреса из той же сети что и выдана вам на устройство? Тогда они должны быть в том же l2 широковещательном домене (т.е. либо выводим их перед маршрутизатор, либо делаем мост).

Сила подсказывает мне ошибку в конфиге. Не виду какую конкретно, но чувствую.

Как не прозрачный прокси сервер всё будет работать с обычными настройками в серверной части (в МК) и браузере.

Как прозрачный скорее всего не заработает, ssl же - подмена сертификатов и тыды.

Точно дело в маршрутизаторе а не ОС\Железе у клиента?

Маршрутизатор - открыл коннект, поддержал коннект, закрыл коннект, ну и плюс айпишники подменил. Самое плохое (если конечно у вас нет какого-либо кеширования) - это куча открытых сессий, но как бы нагрузить ими такую железку довольно сложно.

Уффф, реально каша. Чтобы во всём разобраться - пробуем для начала изложить картину "как надо"

1. Нужно чтобы локальные сети у обоих сайтов были разные.
а. Разные между друг другом
б. Отличались от служебных \ транзитных сетей
2. Не понятно нафига используется и PPTP и EoIP, потому первый выкидываем, оставляем только туннель EoIP и делаем его через стандартные настройки (безопасность IPSec'ом добавим как приправу поверх, но позже)
а. Подняли туннель, подняли на каждом конце адрес из транзитной сети (например 172.16.0.0/30), пропинговали адреса внутри туннеля
3. Подняли маршрутизацию до сайтов через дальние концы туннеля, так для сайта А, где сеть А.А.А.А маршрут до сайта В с сетью В.В.В.В будет такой
В.В.В.В gateway=IP_EOIP_B
И наоборот
A.A.A.A gateway=IP_EOIP_A
4. Исключили такой трафф из НАТА и разрешили в Фильтре, проверили пинги ходят между тачками.
5. Если по непонятной причине нужен ещё и PPTP на каждой площадке - то поднимаем его в _других диапазонах_!
6. IP Sec по вкусу в транспортном режиме (там всё просто) - гуглите.

Прокси небось включили? И на ветке input его не закрыли снаружи.

Хотя характер поведения какой-то больно обрывистый для прокси. Скорее что-то другое. Кнопка торчь видна прямо на вашем скриншоте. Открыли - выставили таймаут побольше (чтобы окно не так часто сбрасывало статистику) и анализируем кто-что-зачем-куда.

Немного непонятно как работает ваш l2tp, для него же у вас по-любому есть ещё какие-то правили, покажите их. Возможно беда в этом.

Ну и следуем совету выше, используем для входящего трафика ветку input - на ней ловим соединения и отмечаем их, а на ветке output помечаем через какой маршрут выходить ответному пакету. Так же убираем passthrough со вторых правил, чтобы трафик не участвовал в мангле в дальнейшей обработке и не попадал под соседние правила.
Получаем на каждый внешний интерфейс два правила - одно ловит пакет, второе направляет его назад. Ну и не забываем про правила для работы l2tp, их тоже нужно корректно обработать в такой конструкции.

Логика микротика в этих случаях очень простая, главное её понять =)

Если скорость нужна небольшая, только для ТСД, то хватит круговой антенны и, возможно, повторителя\пары повторителей WDS.

Если нужна скорость и возможности проложить оптику \ экранированную медь нет - то на каждую крышу ставим что-то похожее на SXT от Микритик и организуем нормальную связность на хорошей скорости (если взять с поддержкой AC то линк будет 500 мегабит) - а внутри здания (опять же если нет меди) раздавать точками с повторителями.

Рекомендую использовать, для начала, софт для рассчёта Ekahau (украсть на руборде), он прост:
Засовываете в него план, обозначаете стены и примерные мёртвые зоны, потом рисуете где нужен вайфай и с какой скоростью - он вам выдаёт сколько и где нужно поставить точек - остальное на ваше усмотрение (и реальность).

Если нужно стучите в скайп, сделаю вам рассчёт и подбор.

Изменился способ работы NAT, теперь у вас этим занимается тот модем, а не микроитк, соответственно либо раньше работал встроенный в MK механизм поддержки SIP (IP - FireWall - Service port), а теперь его нет, либо модем режет какое-либо соединение. Нужно крутить настройки NAT в телефонах и\или настройки NAT в свистке.

Использовать route rule, указав в качестве Src Address адреса за интерфейсом (сетей или компьютера, которого нужно направить в отдельный туннель), и направив трафик в отдельную таблицу маршрутизации - где уже указываете в качестве дефолт шлюза либо интерфейс (если режим L2) либо адрес той стороны туннеля (если L3)

/interface ethernet switch export
покажи что там.

А зачем?

Правило нужно создать только на dlink. Выше уровнем у вас уже нет такой адресации, которая в вашей гостевой сети используется и микротик её не увидит.

Увы, плохо знаю возможности wrt'шки, что бы предложить альтернативу.

Если всё в одном l2 пространстве (один свич, без VLAN или несколько тупых свичей без VLAN) то совет Андрея выше (ниже).
Если есть VLAN или хочется разграничить трафик \ сделать для каждой сети свой DHCP - то на каждый порт микротика свой адрес - и в свой свич (в свой сегмент сети), или на одном порту добавите VLAN и на каждый VLAN свой адрес и каждый VLAN - это и есть свой сегмент сети.

Всё остальное действительно заработает само (и на скорости близкой к wired). Наслаждайтесь.