Дмитрий Александров

Микрот, бери то что подойдет по железу.
По поводу настроек, как бы то не было, и даже если сложно то опять же, вам дома надо будет настроить его единожды и забыть, ежедневно туда лазить просто незачем.
Асус и сяоми лучше сразу отбракуй, они достойные только с wrt прошивками.
Кенетик, ну топовые и предтоповые да достойные, простые в настройке НО глюков достаточно много.
Лично у меня сеть на микротах полностью, кенетик гига3(kn1010) используется только как минисервер из за usb3.0 и 2.0 портов, подкинут usb-raid контроллер с парой винтов. (предвидя коментарии почему не овощново-фруктовые pi в вариациях, просто так оказалось удобнее, все в корпусе без излишеств и функционала с мощностями хватает на ура)

Перед тем как задать вопрос вы хотя бы пробовали почитать про хотспот? Все это, что называется, из коробки присутствует.

Просто в soho роутерах wifi это скорее бонус и этого хватает в 99% случаев, если нужно больше радиус то тут уже в любом случае гораздо эффективнее поднимать capsman сеть.
В общем решение вполне себе оправданное.

Может лучше сразу отбросить такие костыли с колхозом и использовать SNMP?
По вопросу, В services включен ftp? Пользователь с правами ftp создан? В конце концов ошибка то какая? Телепаты в отпуске.

Сам winbox и есть дыра. Юзайте ssh по сертификатам и порты меняйте на кастомные.
Если без винбокса руки из одного места то делайте vpn то микрота и уже через этот vpn пользуйте winbox.

В обоих тикак прописать полное разрешение хождения трафика в фаирволах между подсетями дом\работа. Так же на обоих прописать маршруты до подсетей и где их искать.

Эта фича уже лет 5 у них висит если не больше. С огромной долей вероятности значит ее так и не появилось. Т.е. в r-os я ее не наблюдал.
НО возможно что всеже эта фича есть именно в sw-os , вот ее я очень давно не щупал а тут у вас оная и будет. Нужен человек с железкой на sw-os и уже он точно скажет есть или нет там.

А зачем было так разделять сети? сделайте 192.168.0.254/23 и получите тоже самое только с меньшими гемороями.
Если нужно изолировать телефонию от локалки то градстримы достаточно хорошо умеют vlan цеплять. Тут тогда тоже все просто, сервер и телефоны в одной сети а локалка в другой.

Из личного опыта могу сказать что у меня с грандстримами были проблемы странные в сетях 192.168.х.х , поэтому переехал сразу на 10.х.х.х . Глюк выражался в том что иногда телефон игнорировал dhcp и вешался на свой стандартный адрес.

Fasttrack крайне загадочная штука, кроме того капризная и с кучей нюансов.
Рекомендую один из вариантов:
1) Еще раз очень вдумчиво почитать что это, для чего, какие с ним проблемы на оф. вики.
2) Если на 146% уверены что все рекомендации по настройке соблюдены то есть вероятность что это один из загадочных глюков которые как правило лечатся полным сбросом до заводских настроек без сохранения конфигурации и без применения дефолтой стандартной конфигурации. Звучит очень бредово но это действительно часто помогает при непонятных проблем когда все точно должно быть правильно.
3) Попробуйте оказаться от Fasttrack и настроить все по классике без него. Как правило к Fasttrack имеет смысл прибегать когда скорости скорее ближу к гигабитам с кучей правил фаирвола и просто нехватает проца на фаирволе, у вас же тут всего то канал сотка. Есть предположение что он может быть косячит из за конфигурации в которой туннель поверх туннеля. Другой вариант это пошерстить форумы, возможно для такой ситуации есть свои тонкости настройки Fasttrack.
4) Как и предлагали уже, копните MSS и MTU в туннелях.

Ничего сложного.
На главном роутере все оставляешь как есть.
На hap'е убиваешь конфиги от греха подальше и в т.ч. не пользуешься квик конфигом. Дальше убиваешь все правила фаирвола\ната\маскарада. Все порты суешь в один бридж и без всяких wan'ов, убиваешь на нем dhcp но оставляешь dhcp клиента чтоб он себе получил адрес(необязяательный пункт). Настраиваешь вайфай.
На выходе hap станет просто свичем у которого есть вайфай, dhcp сервер на главном микротике.

PS чтобы пробиться к конфигам микрота необязательно нужно чтобы у него был IP адрес, можно winbox'ом просто по mac адресу влезть.

Между микротами подними bonding. Микрот сам будет разруливать что там и как. Конкретно с астериском не пробовал но думаю будет также хорошо все. Есть вероятность что если всеравно будут микропотери то спасет переключение rtp трафика на tcp.

В кратце bounding работает както так:
Прокидываешь VPN по каждому каналу. По желанию можно натянуть шифрование.
Через 1й и 2й vpn прокидываешь EoIP.
Полученную пару EoIP объединяешь в bonding и получаешь на выходе тупо один виртуальный интерфейс с одним IP.
Софт работает как обычно и даже неподозревает что трафик агрегируется. На микроте ненужны никакие колхозные скрипты переключения каналов все будет автоматически и в случае разрыва связи трафик не оборвется.
Бонусом получишь увеличение скорости.

Как выше ответили на микроте получай все по dhcp но отключи фаирвол и nat, у хотспотов и wifi авторизацию объедини через radius.

1) Для начала растолкать сети физически, на основном микроте оставить только серверы и линк до 2го микрота на котором будут сидеть юзвери.
2) Сети с серверами задать 192.168.195.0/26 что даст 62 адреса чего должно хватить за глаза
3) Сети с пользователями задать 192.168.195.64/26 192.168.195.128/26 и 192.168.195.192/26 естественно разбив эти сети по портам.
4) Агрегируем подсети или вяжем так внаглую.
5) На основном микроте рулим кому и куда можно.

На выходе будет сегментированная сеть в которой все будет работать также как и раньше но можно будет рулить правилами для сегментов или конкретных адресов не перегружая фаирвол лишними правилами.

Согласен с Gansterito добавлю следующее.
Возможно у МТ особые правила ната\фаирвола и возникает проблема в виде битых пакетов или "излишних" ack.
Если включен upnp то посмотри что там прописывается в моменты тормозов, возможно злостный вася решает покачать фильмов торентиком а торент в свою очередь пробивается по upnp во внешку раздавая трафик.
Как вариант возможно вин10 начинает шарить и раздавать обновления по локалке.

WiKi.

Консольный порт как правило есть у всех но может быть не распаян. Вскрыть роутер и найти на плате rx\tx пятаки, с вероятностью 99% они будут 3.3 вольтовые а значит нужен uart который можно купить или сделать из старого шнурка какойнибудь нокии\самсунга\сименса. Цепляетесь им на эти пины и вперед. Для удобства на будущее можно напаять штырьки и в корпусе над ними просверлить дырочки чтобы если такое снова случится можно было подключиться без разборки роутера.

Вот так.