kprohorow

DST-NAT и сервер вынести в отдельную подсесть

В фаирволе ловите исходящие соединения на порт rdp и заворачиваете на свой адрес.
Делается аналогично как с прозрачный прокси или запрет подмен dns

Нужна именованная таблица маршрутизации, чтобы пакет уходил через тот интерфейс, откуда пришел.

У Вас есть потрясающая возможность снять на Mikrotik PCAP-дамп трафика с телефона, и выявить все причины происходящих проблем.
Предположу, что на Mikrotik может залипать NAT-трансляция: старая трансляция висит и мешает новой работать. Как вариант найти старую прибить. Искать по порту (5060 или какой там у Вас) или по IP-адресу облачной АТС.
У меня было правило: если на Mikrotik не работает нормально SIP, нужно включить/выключить на нем SIP ALG. В подавляющем большинстве случаев помогало.

VPN изнутри сети за NAT

Мало настроить контроллер CAPsMAN, нужно еще на каждой точке включить управление контроллером:

/interface wireless cap
set bridge=bridge caps-man-addresses=192.168.88.1 enabled=yes interfaces=\
    wlan1,wlan2

где 192.168.88.1 - IP адрес вашего CCR2004-1G-12S-2XS
Предварительно рекомендую сбросить каждую точку

/system reset-configuration no-defaults=yes keep-users=no skip-backup=no

failed to bind to ::[500] Bad file descriptor

Включите пакет IPv6 в System > Packages или или уберите ::/0 из настроек пира.

MikroTik IKE2 VPN своими руками
Презентация

Ещё есть RoMON (Wiki Manual:Tools/RoMON)

у микротика есть очереди, там можно выставлять приоритеты трафику.

Есть стандартный подход - использовать Remote Desktop Gateway, который позволяет организовывать безопасное соединение по HTTPS к внутренним RDP серверам.

Необходимо объединить два офиса в одну локальную сеть чтоб при отсутствии да любом провайдере инета, не терялась связь по локальной сети между офисами.

Если у вас офисы соединяет ваша оптика, то связь между офисами никак не зависит от провайдеров. Можно их вообще отключить - доступа в интернет не будет, а локальная сеть будет так же работать.
Поэтому у вас эта задача уже выполнена.

не может такая потеря рвать впн соединение....
у меня anyconnect соединение обычно месяцами висит...

Маршрут нужно добавить в нужную подсеть с gateway адресом PPTP сервера.

Я бы логи выкрутил в режим повышенной говорливости.

https://forum.mikrotik.com/viewtopic.php?t=50792
Вот например для микротика