Дмитрий

Переназначение порта тоже может не помочь. Увидят что на этом порту отзывается ssh и продолжат подбирать.
Во-первых стоит избавиться от пользователя admin (разрешить ему вход только из внутренней/доверенной сети). Во-вторых, я бы настроил port-knocking (например как-то так forummikrotik.ru/viewtopic.php?f=13&t=5691 ).

Не зная ВСЕХ ваших правил, на этот вопрос ответить нереально.
Могу лишь попробовать угадать: у вас есть правило разрешающее "established" соединения.

+1 к Maksim
Кто мусорит? Чем мусори? На каких портах/vlan? Ничего непонятно, соответственно и советовать что-либо бессмысленно. Нужно видеть конфиг+детальную схему сети+логи проблемного трафика. Иначе никак.
Советовать оборудование не зная даже примерных требований? Берите ЛЮБУЮ модель, не прогадаете!

Ну и раз уж был единственный сформулированный вопрос "Что бы вы предложили для изоляции мусорного трафика?" отвечу: используйте firewall.

Я бы остановился на RIP.

Если без "защиты от дураков", то:
1) запрещаете dhcp пакеты между lan и wlan;
2) вешаете на wlan отдельный DHCP сервер с отдельно подсеткой
3) правилами фаерола запрещаете общение между разными подсетями
(так же можно использовать vlan а не подсети)
4) кому нужно - добавляете static lease в основную сетку ( ту, которая имеет доступ к основной)

В этих полях можно прописывать не только адреса, но и имена dhcp pool-ов.

Задайте вопрос разработчикам, они смогут дать 100% правильный ответ. Только придется все-таки нормально описать требуемые действия. Может вы просто файл-образ диска хотите перетащить на другой инстанс...

wiki.mikrotik.com/wiki/Hairpin_NAT

Насколько мне известно - не потянет даже близко. Можете попробовать поискать темы на форуме mikrotik.ru/forum/index.php про CCR (точно были обсуждения и комментарии по работе, но другой модели).

Очевидно не хватает маршрутов во внутренние подсети.

У вас маршрут в локальную сеть за микротиком есть?