Дмитрий Александров

Во первых определитесь в мегабитах, мегабайтах и мебибитах.
Во вторых мерить скорость надо через iperf или на край через btest микрота
В третьих WG надо уметь готовить, тот же mtu
В четвертых фаирвол очень сильно влияет на все, не просто так все тесты отдельно делают с фаирволом.
В пятых ваш ccr1036 умеет аппаратно только DES\3DES\AES-CBC\AES-CTR для хэширований MD5\SHA1\SHA256
И в очередных, надо делать тест трафика напрямую без тунелей чтобы понять что там провайдер реально даёт. Потом уже поднимать тунель и тестить через него. Провайдер может зажимать скорость для протоколов. Смотреть настройки mtu и фаирволов, чем больше правил тем будет грустнее.
WG очень специфичная штука и надо понимать как и для чего ее использовать. С OSPF работает прекрасно.
Если вы агитируете за переход на ros7 будуче имея доступ к ccr1036 и ccr1009 то я прям сочувствую вашему работодателю. ros7 можно юзать только дома или на железках не критичных, это всё еще дико кривая бэта.

Правильный вариант 1:

• Поднять за микротиком на отдельном сервере reverse proxy
  

Правильный вариант 2 но хуже:

• Поставить в микротик контейнер с reverse proxy. Но это если хватит железа роутера
  

Правильный вариант 3, современный 1:

• На вашем публичном DNS добавить сделать новомодные записи HTTPS и указать порт, на первый сервер 4431 а на второй 4432. Вопрос с поддержкой браузерами и софтом открытый но уже многое умеет
  

Правильный вариант 4, современный 2:

• Обзавестись IPv6. Там ip адресов столько что жизни не хватит. Но не у всех ipv6 есть
  

Если судить из вашего описания что у вас 2 vps во вне, значит у них должны быть и свои белые IP, а значит просто в DNS делаете А записи к каждому.

Лучше не nat'ом баловаться а сделать все на уровне dns.
Пусть внешний dns отдает всему миру
s1.example.com A 1.2.3.4 (внешний ip роутера)
service3.example.com CNAME s1.example.com
service4.example.com CNAME s1.example.com

А внутренний DNS на микротике имеет такие записи и как вышестоящий использует внешний ns
s1.example.com A 172.16.0.10 (локальный ip сервера в локалке)
service1.example.com CNAME s1.example.com
service2.example.com CNAME s1.example.com

Как итог, внешний мир видит только service2 и service 3, а клиенты внутри локалки видят service1, service2, service3 и service4. И никаких заворотов натами не нужно.

RSTP и не должен работать в случае с vlan'ами и вашей схемой, тут нужен mstp.

По скринам у вас мешанина вариантов настроек vlan'ов. Перечитайте как настраиваются и чем отличаются подходы.
Если пошли по пути vlan filtering то соблюдайте его правила:
- единый бридж со всеми портами
- на бридже включен vlan filtering
- во vlan's бриджа созданы вланы и указано куда он ходит с тегом и без тэга.
- на портах указан тэг.

Если по пути без vlan filtering то каждому vlan свой бридж, vlan вытаскивать\затаскивать через псевдоинтерфейс типа vlan.

Есть и совсем хардкор через switch chip.

Технология Power line. Стоит копейки. Одну в розетку под роутером, другую в розетку где крестик и от нее любой понравившийся роутер.

Схема из WG+EoIP сама по себе дичь, там MTU будет крошечный.
Смотрите в сторону l2tp, на худой конец в сторону OpenVPN. Если вмето рук лапки то ZeroTier. Можно еще глянуть sstp но там tcp.
А вообще, по хорошему, если вы проталкиваете во вне l2 то у вас что то явно не так и надо что то пересматривать и уходить в l3.

Ошибки на порту смотри, скорее всего будут. А это говорит о возможных проблемах но без конкретики. Может быть кабель\обжатие\коннекторы\прокладка кабеля.

Абсолютно все что у вас написано у меня работает, также мангл со списками. Только ушел с ovpn на wg. Могу предположить что вы обновились на 7ку с сохранением конфигурации или востановили ее из бэкапа. У меня в таком случае тоже странности были, решилось все прошивкой без сохранений конфигов и настройкой с нуля.

В цепочку forward добавьте правило с разрешением 80 порта из pppoe.

Выделить на карте нужное, скопировать, открыть нужную карту, вставить. Посмотреть что все связи остались. Удалить с ненужной карты эти элементы.
Лучше делать кусочками устройств по 10.
После ребут сделать.

Само собой предварительно сделать бэкап.

1) не стоит, лучше руками заново все сделайте. Велика вероятность что утащите mac адреса, потеряется пароль чегото. Не стоит в общем
2) Кажется вы немного путаете то для чего предназначен VRRP. Если упростить то им вы можете сделать "шлюз по умолчанию" для клиентов локалки, но не внешки со стороны провайдера. Т.е. к примеру:
Роутер "А" в локалке имеет ip 10.10.10.10
Роутер "Б" в локалке имеет ip 10.10.10.11
VRRP между ними и "шлюз по умолчанию 0.0.0.0" для клиентов локалки будет 10.10.10.1, это адрес будет перетекать между "А" и "Б", та самая отказоустойчивость.
Со стороны провайдера фиолетово что у вас там, назначайте на "А" ip 1.2.3.4 , а на "Б" ip 5.6.7.8
3) Смотри пункт 2. Со стороны wan у тебя будет 2 разных ip без всяких VRRP. Настраивай на каждом тике свой l2tp\ipsec. Дальше можешь пытаться делать разную адресацию и поднимать одновременно оба линка, либо одну адресацию и в DNS делать 2 "А" записи , с клиентов цепляться по домену. Можно и другие варианты пробовать. Я бы сделал 2 линка и протолкал ospf.
4) Смотри пункт 2, у тебя нет vrrp для внешки. В лучшем случае можешь сделать в DNS "А" по записи на адреса 1.2.3.4 и 5.6.7.8. Тогда в случае отказа одной железки клиенты 50\50 будут пролазить через другую.

Можно сделать огород для WAN, некое подобие vrrp. Грубо говоря на роутере "А" висят оба внешних ip, в роутере "Б" скрипт который через локалку пингует роутер "А", если пинги прекратились то скриптом дернуть интерфейс провайдера и назначить себе адреса, если пинг вернулся(роутер А ожил) то отключить интерфейс.

В общем VRRP это для внутренности твоей локалки но не внешки.

Бот сканит

Никак. домру дает префикс ipv6 по SLAAC который по дизайну предполагает что сеть не может быть меньше 64 префикса. Да и вообще в целом надо чтобы сеть была с 64 префиксом а провайдер давал 56 или 48 префикс.

Касательно домру(кстати мануал выше какраз я и писал) возможно стоит отказаться от их раздачи и взять от брокера или из 6to4 где какраз будут аж 48 префиксы, но в обоих случаях крайне желателен статичный ipv4.

Другой вариант дождаться или рискнуть обновиться до router os7, там появился nat для ipv6 и можно сделать 1 к 1 проброс до нужной железки внутрь нужной сети присвоим внешке микрота еще нужное количество адресов из одного 64 префикса.

Начните с вики где перечислено точно проверенное и есть заметка с проблемами.
От себя добавлю что сразу стоит купить хороший активный usb hub(активный значит со своим БП мощным). Часто сталкивался с тем что при нагрузке модем отваливается по питанию, с хабами такого не наблюдал.

В фаирволе ловите исходящие соединения на порт rdp и заворачиваете на свой адрес.
Делается аналогично как с прозрачный прокси или запрет подмен dns

Чаще всего оператор выдает IP глядя на ваш apn. Видимо у вас дефолтный вписан.