nApoBo3

Снимите дамп трафика. Вполне вероятно, что у вас нет маршрута на устройстве в заданную сеть, или оно блочит своим экраном все запросы не из своей сети, например WD NAS по умолчанию ведет себя именно так.
В логе у вас все на первый взгляд нормально, это SYN пакет, т.е. попытка установки tcp сессии не проходит.

Зависит от того, что у вас на клиентах прописано в dns сервере.
Если это контролируемый вами сервер, то самый простой вариант, сделать статическую запись.
Не хотите статическую запись, можно через dns форвардинг( на mikrotik split dns ). Если прописан какой нибудь 8.8.8.8, то можно его поднять на mikrotik, но в связи с последними движениями по защите dns могут возникнуть разные неожиданные подводные камни.

Оценить загрузку внешнего канал, оценить загрузку канала до данного ПК. Запустить длительный ping до роутера, паралельно до шлюза провайдера и до какого-нибудь публичного ресурса, посмотреть будут ли потери пакетов, если да, то будут ли они совпадать по времени на всех трёх пинг "сессиях".

Надо смотреть, что умеет tplink. Но думаю он так не умеет.

Никак. Wifi это общая среда, читать ее может кто угодно. Другое дело, что читать и расшифровать это разные вещи.

Для начала надо найти место где эта самая скорость обрезается.
Если проблема воспроизводимая, то смотрим трафик на внешнем интерфейсе mikrotik и пытаемся его дополнительно нагрузить( проводным клиентом ). Если нагрузить получится, то дело не в провайдере.

Гуглить по запросу transparent proxy.

Одним роутером на 50 клиентов не обойтись.
Кол-во точек доступа зависит от планировки.
Вероятно на обычном тарифе для физ.лиц вы продержитесь не долго.
Тарифы для юр.лиц с той же максимальной скоростью во много раз дороже.
По закону вы обязаны идентифицировать ваших wifi абонентов по паспорту.

Идея прям скажем не очень.
Если вы хотите реализовать именно так, то нужны vlan на коммутаторое и сетевая карта с их поддержкой в пк3, ну или две сетевые и два кабеля.

Для начала нужно разобраться почему падает интернет.
Нужно отделить "падение" wifi части от проблем на головном маршрутизаторе.
При адекватной настройке 50 клиентов не должны класть именно маршрутизатор( wifi могут ). Попробуйте при наличии проблем посмотреть загрузку маршрутизатора и проверить есть ли при этом проблемы по проводу.
Я ставлю или на wifi или на процессор маршрутизатора( если там накрутили много правил, плюс vpn авторизацию клиентов, плюс qos ).

Зависит от типа vpn. Если состояние линков неизвестно, например ipip, то ospf. Если известно, маршруты с разными метриками.
С помощью ospf можно сделать ещё балансировку каналов.

1. Поставьте задачу перед видеонаблюдением.
Иначе оно у вас не источник безопасности, а источник рисков.
2. Не забудьте вам потребуется ещё защита портов коммутатора, иначе злоумышленники подаст в вашу сеть через провод 220, спалит ваш коммутатор выключив остальные камеры.
3. Изоляция портов можно сделать или vlan, или физическим коммутатором.
4. VLAN просто исходя из названия, оно virtual. В ИТ виртуал используется в первую очередь для повышения утилизации ресурсов. Т.е. если вам нужно 48 портов, с разделением два по 24, это дешевле, чем 48 с vlan. Использовать vlan в такой конфигурации может снизить электро потребление и снижает занимаемое место, но снижает устойчивость к отказам и увеличивает стоимость.
5. Маршрутизацию между vlan осуществляет маршрутизатор порты которого находятся в соответствующих вланах.

100метров это стандарт, а не скорость света. Реальная работа на больших расстояниях зависит от конкретного оборудования и множества других факторов.
Для себя вывел, если линия получается длиннее 80 метров, то лучше ее или разрезать или заменить оптикой, иначе она статистически значимо становится источником постоянных проблем.

В задаче не хватает данных. Если вам просто нужно вытащить антенный из ящика, раскрутите свой mikrotik и посмотрите есть ли там разъемы.
Но это будет колхоз в любом случае, вам же ещё колхозить крепление этих антенн.
Если ящик только для эстетики, замените его на пластиковый и не парьтесь, это проще всего.
Если mikrotik только усиливает сигнал замените его на усилитель сигнала от того же mikrotik( он значительно компактее ).
Если нужно на одном кабеле вытащить наружу точку, возьмите саму компактную cap lite.

В сетях есть только пакет, на l2 пакет идёт от одного мака к другому, на l3 от одного ip к другому. Нарисуйте для своего случая где и как происходит инкапсуляция пакетов в упрощенном виде и все встанет на свои места. Т.е. вот есть компьютер он отправляет пакет на микротик, и расписать что будет с этим пакетом далее и какие где будут адреса.