nimbo

если на RouterOS, то единственное решение, которое я встречал - на METARouter ставится что-то типа OpenWRT, на котором и работает tor-proxy, а дальше поднимается web-proxy и прописывается chain до OpenWRT, соответственно прописываются правила direct и proxy.

1. обновить ROS до последней версии
2. сбросить настройки в ноль
3. настроить всё через quick set установив галку на Firewall.

выберите в Quick Set в winbox'е режим CPE и дальше по настройкам: Router, DHCP и т .д.

я в своё время делал через routing mark. для меня так было проще.

а теперь вопрос на миллион - конфиги покажете?) в микротике вообще особо нет "конфигурации по умолчанию" кроме как в бридже с 2 по 5 лан и вай-фай, натирование на первый порт маскарадингом.
поэтому либо вызываем экстрасенсов, либо показываете конфиги. предварительно - вы что-то делаете не так с маскарадингом.

я вам не советую гонять ethernet поверх vpn (если только у вас там не какой-нибудь олдскульный sip).
ovpn стабильней, l2tp проще. принято делать l2tp+ipsec. на вашем месте я бы сразу микротик с аппаратным шифрованием присматривал бы в качестве сервера.
прелесть ovpn в том, что вы его можете повесить на любой порт, в частности я использую 443 - пролезет везде практически.

sstp?
вообще либо sstp, либо ovpn - стабильные, везде пролезут.
а по вашей задаче sstp \ l2tp+ipsec.

заменить ваз-2107 на трансформер-ламборджини галлардо. меняйте))
вы когда начнёте ковыряться в микротиковских железках - поймёте насколько они офигенские и насколько soho-сегмент dlink'а гомно.

это однозначно к саппорту на микротиковском сайте. форму заполните и отправьте. иначе только гадать.

я бы подумал в сторону прозрачного прокси на самом тике. правила среза можно выдрать из adblock-листов. насколько это решение рабочее трудно сказать, т.к. всегда срезал всё на оконечке - там оно "гибше" настраивается)) но теоритически разницы особой нет.
замечу что с тиком вам всё равно придётся трафик на прозрачный прокси заворачивать, просто потому что андроид не умеет нормально нативно выпускать через прокси приложения все, например.

ovpn tcp режим ip, повесить на 443 порт, SHA1-CBC AES-128. если модель вашего тика поддерживает аппаратное шифрование - включаем aes-256 и спокойно спим.
tls-auth вам и не нужно по факту-то...

а просто с помощью разных Distance для 0.0.0.0/0 и ping gateway уже совсем не вариант?

tls в mikrotik ovpn насколько я помню нет.
ps: вообще если у вас планируются клиенты с Windows на борту - настоятельно рекомендую посмотреть в сторону SSTP. В нём есть свои прелести типа нативной поддержки и меньшего latency.

zyxel.ru/keenetic-ultra

мне на ум приходит только использование двух внешних ip и, соответственно, раскидывание через netmap по нужным серверам.

я извиняюсь, но - у вас рт раздаёт инет и тв через VLAN'ы или всё по одному vlan'у идёт?..

пропишите маршрут на микротике такой что 10.0.0.0/24 у вас должно идти через первую cisco (как гейт). и всё. ну и почстите фаер, потому что не совсем ясно зачем фаеру отрабатывать правила для локал трафика. это задача исключительно для маршрутизации.

habrahabr.ru/post/186284

1. по ip-адресам папки открываются?
2. если нет то попробуйте telnet'ом на порты постучаться - будет что-нибудь или реджект?

побоюсь быть неадекватным, но: input -> Source ip (адреса pop3\smtp серверов) -> маркировка -> заворачиваем в pptp на офис Б?