osada

Если вам провайдер выдали инет по определенному VLAN, то, как вариант, он мог ошибочно в этот VLAN вставить дополнительно свою подсеть или подсеть какого-то еще клиента.

На серверах только статика, особенно кто исполняют важную роль- AD DC, Web-сервера, СУБД и др.
DHCP может не работать периодически, или проспали момент окончания аренды из IP-пула и др.

Если жестко поставлены условия по безопасности, то и на рабочих станциях прописывать статику. Так легче осуществлять поиск зараженных или хакнутых точек, также быстрее и легче настраивать фильтрацию и блокировку трафика, легче анализировать логи и др.

Дмитрий Александров
1) Понятно, спасибо.

2) " Кажется вы немного путаете то для чего предназначен VRRP." - ключевой момент тут то, что у меня в наличии только один WAN-коннект на сегодня. Соо-но, при настройке двух Микротиков, на каждый из них должен подаваться отдельный WAN-коннект. Про схему работы VRRP в локалке я знаю.

3) Как я понял, мой предложенный выше вариант имеет смысл? Т.е., я поднимаю на каждом Микротике отдельный L2TP/IPSec сервер, на каждом клиентском Микротике поднимаю два L2TP/IPSec и через скрипт мониторю их состояние.

4) "Чтобы приложение также было доступны внешним клиентам с этим же IP 5.6.7.8, даже при переключении с одного Dude на второй в случае сбоя." - если не придерживаться жестко этого ограничения, то можно сделать следующее.
WEB-приложение опубликовано по DNS-имени, конечно, и резолвится на 5.6.7.8 Как еще один вариант, можно в записи А в DNS указать дополнительно на IP второго Микротика, т.е. 9.10.11.12. Соот-но, на втором Микротике тоже сделать правила NAT для этого приложения.

Этот вариант тоже рабочий?

Попробуйте написать запрос в официальный суппорт Микротика. Возможно они дадут ответ как можно быстрее.