Александр Карабанов

Да это возможно, но это не значит, что так надо делать. Настройте резервирование и остановитесь.

Если всеравно хочется вот то вот https://m.habr.com/post/244385/

Нет такой возможности. Можно исхитриться и заставить http трафик отправлять на проксю, но с шифрованным трафиком всёравно ничего не выйдет.
Настраивайте VPN.

Да. Fasttrack пускает трафик мимо фаирвола и трафик не попадает под IPsec.
В вашем случае необходимо изменить правило FastTrack так, что бы оно не затрагивало трафик который должен попадать под IPsec.

CPU загружен на 100% из-за того, что моного ресурсов тратится на шифрование. FastTrack эту проблему не решит. Вам нужна железка с поддержкой аппаратного шифрования.

Первая часть статьи для вас https://habr.com/post/244385/

chain=dstnat action=dst-nat to-addresses=192.168.8.1 protocol=tcp dst-address=10.8.0.30 dst-port=80 log=no log-prefix=""

Второго правила не нада

Надо NAT-ить. Или прописать обратный маршрут на шарах, других ПК. Кстати какие IP у шары и других ПК? Они тоже в 192.168.88.0/24 если да, то там вполне может быть надо настроить фаирвол.

В целом да. Если нигде не накосячите, никто не заметит.

Использовать Ansible, вот так https://www.youtube.com/watch?v=E8NsgpW18C4

По таймауту. В прочем неважно...

Попробуй отключи fast-track. Это единственное, что можно посоветовать на основании предоставленных тобой данных.

С телефона неудобно писать, поэтому только ссылка https://forum.mikrotik.com/viewtopic.php?t=43569

В отсутствии аппаратного шифрования.
Как вариант можете отключить conection_tracking, но заметных результатов это скорее всего не даст.

А почему бы не воспользоваться SSH и аутентификацией по ключам?

На вкладке General:

Protocol: TCP
Dst. Port: 3389
In Interface: Интерфейс с белым IP

На вкладке Action:
Action: dst-nat
To Address: адрес компьютера к которому вы хотите подключиться по RDP
To Port: 3389

Настройте DHCP клиент таким образом, что бы он не добавлял дефолтный маршрут и добавляйте дефолтный маршрут вручную, а потом меняйте ему Distance как хотите.

Сложно. Не надо так.
Есть простой способ: https://habrahabr.ru/post/335436/

Вообще используйте Safe mod чтоб такого не случалось.
А подключиться можно попробовать по MAC

В Address List на микротике можно добавлять заблокированные сайты в список по имени, а не по ip.