Александр Карабанов

MikroTik IKE2 VPN своими руками
Презентация

Золотой конфиг для MikroTik

Презентация

failed to bind to ::[500] Bad file descriptor

Включите пакет IPv6 в System > Packages или или уберите ::/0 из настроек пира.

MikroTik IKE2 VPN своими руками
Презентация

Ещё есть RoMON (Wiki Manual:Tools/RoMON)

Например:

/interface bridge port
add bridge=bridge1 interface=ether3 pvid=2
add bridge=bridge1 interface=ether4 pvid=3

/interface bridge vlan
add bridge=bridge1 tagged=ether2 untagged=ether3 vlan-ids=2
add bridge=bridge1 tagged=ether2 untagged=ether4 vlan-ids=3

/interface bridge set bridge1 vlan-filtering=yes

Таким образом ether2 - транковый порт, а ether3,ether4 порты доступа, ether3 - член vlan 2, ether4 член vlan 3

Например:

/ip firewall address-list
add address=<ваш IP 1> list=inet-IP
add address=<ваш IP 2> list=inet-IP
add address<ваша подсеть 1>/24 list=LocalNet
add address<ваша подсеть 2>/24 list=LocalNet

/ip firewall nat
add action=dst-nat chain=dstnat comment="To WEB-Server" dst-address-list=inet-IP dst-port=80,443 protocol=tcp to-addresses=<IP адрес>
add action=masquerade chain=srcnat comment="Hirepin NAT" out-interface-list=LAN src-address-list=LocalNet

Рекомендую ознакомиться https://www.youtube.com/watch?v=wGDTWaDL8jc
Про fail2ban там тоже есть.

В целом это возможно.
Вот схемы прохождения траффика (про IPsec в самом низу) https://wiki.mikrotik.com/wiki/Manual:Packet_Flow
Вот пример настройки QoS внутри туннеля https://www.youtube.com/watch?v=sm7QGWl7Xh8

Полагаю необходимо сделать два набора правил, для двух интерфейсов. Траффик будут аффектить только те правила которые относятся к активному в данный момент интефейсу.

Проверил. Этот метод работает, но есть нюанс - у браузера свой DNS клиент и он всё равно сумеет отрезолвить адрес который отсутствует в адрес листе.
Можно попробовать запретить обращения к чужим DNS, но в эпоху DoH это тоже бесполезно...

Это чтобы два канала были одновременно активны https://www.youtube.com/watch?v=Gwl-0bRxOY4

Ну и выше предложили дёшево и сердто CNAME + ip->cloud

Да https://www.youtube.com/watch?v=RndgmoC_aAQ

Так то да, но если нет опыта настройки фаирвола логичнее использовать дефолтные, так как в свежих версиях RouterOS они хороши.

Можно попробовать прошивку модема обновить:
/interface lte firmware-upgrade lte1 upgrade=yes
И как обновится сказать:
/interface lte at-chat lte1 input="AT+reset"

Микротики умеют только HILINK LTE USB-модемы, так что L3
Вот собственно список https://wiki.mikrotik.com/wiki/Manual:Peripherals#...

В L2 могут те модемы, что подключаются в MiniPCI-e.

UPD
А смотри-ка для ряда LTE модемов стал доступен и ppp интерфейс, но опять же зависит от того, какая прошивка у модема HILINK или STICK.

Не обязательно было столько картинок постить, хватило бы и текстового конфига.

/interface wireless
set [ find default-name=wlan2 ] antenna-gain=0 band=5ghz-onlyac channel-width=20/40mhz-Ce country=russia3 disabled=no frequency=auto installation=indoor mode=\
    ap-bridge security-profile=home ssid=<You_SSID> wireless-protocol=802.11 wmm-support=enabled wps-mode=disabled

Остальное по дефолту.

PS
Ширина канала у тебя черезчур, вот и не работает.

Есть ещё RoMON (и wiki) можно настроитьего и управлять микротиками так.

MTU определяется так, пингуете целефой хсот в параметрах утилиты ping указываете размер пакета и запрещаете фрагментацию, затем уменьшаете размер пакета до тех пор, пока целевой хост не начнёт отвечать, полученный размер пакета плюс 28 байт и есть искомый MTU
Пример для Linux ping 8.8.8.8 -M do -s 1472 целевой хост отвечает, значит MTU 1472+28=1500

Но, так как используется L2TP можно использовать MLPPP подробнее https://youtu.be/VP2q82tXZh4?t=4279 и презентация bit.ly/2HoOXN6