Никита Сизов

Уверены, что не наоборот? Не сервер к кассам подключается, а кассы к серверу?
Если всё же кассы к серверу, надо настроить dst-nat на Микротике:
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=***белый IP-адрес Mikrotik*** src-address=***белый IP-адрес первой кассы*** to-addresses=***внутренний IP-адрес сервера***
и для второй кассы так же.
На кассах нужно настроить адрес сервера = ***белый IP-адрес Mikrotik***
Все запросы от касс будут перенаправляться с Микротик на сервер через dst-nat.

Только вот эта строчка в вашем конфиге меня смущает
/ip address
add address=192.168.0.80 interface=ether1 network=192.168.0.80
но при этом
/ip route
add distance=1 gateway=212.46.253.97
Если вы так спрятали свой реальный IP, тогда ОК. А если нет, то сомневаюсь, что ваш конфиг рабочий.

Купите для начала Mikrotik, например RB2011.
Это маршрутизатор с возможностями коммутатора. 5 гигабитных портов, 5 по 100Мбит.
И когда появятся другие требования (а они появятся), не надо будет всё переделывать.
И да, только проводная сеть.

Для отдельных приложений это будет сделать затруднительно.
Маршрутизация работает на сетевом (3) уровне OSI, а не на прикладном (7).
Но обычно эта проблема решается так:

• в клиенте OpenVPN уберите создание шлюза по умолчанию через удаленную сеть
  
• через route add настройте маршрутизацию на те хосты/подсети в удаленной сети, которые нужны вашим приложениям.
  

Настройте статический маршрут с аргументом pref-src туда, куда подключается ваш PPTP-клиент:
add distance=1 dst-address=хх.хх.хх.хх/32 gateway=wan-interface pref-src=yy.yy.yy.yy

Здесь хх.хх.хх.хх - адрес, к которому должен подключаться pptp-клиент, yy.yy.yy.yy - адрес, с которого он должен подключаться.
Либо прописать статический маршрут через конкретный интерфейс. Зависит от того, на одном у вас интерфейсе адреса, или на разных. Вообще лучше конфиг, чтобы не гадать.

VLAN тут не особо нужен.
Можно тупо подключить сервера в отдельные порты (скажем, ethernet4 и ethernet 5) и добавить их в бридж с ethernet-wan:
/interface bridge
add mtu=1500 name=bridge-wan
/interface bridge port
add bridge=bridge-wan interface=ethernet-wan
add bridge=bridge-wan interface=ethernet4
add bridge=bridge-wan interface=ethernet5
После этого назначить внешний адрес 95.125.125.4 бриджу
/ip address
add address=95.125.125.4/хх interface=bridge-wan network=92.125.xx.xx
А адреса 95.125.125.2 и 95.125.125.3 прописать напрямую на сервера.
Это будет работать.
Но в этом случае функции фаерволла должны будут исполнять сами сервера. Логично централизовать эту функцию на маршрутизаторе. Поэтому я бы делал через NAT.
прописываем все три адреса на интерфейсе ethernet-wan:
/ip address
add address=95.125.125.2/хх interface=ethernet-wan network=92.125.xx.xx
add address=95.125.125.3/хх interface=ethernet-wan network=92.125.xx.xx
add address=95.125.125.4/хх interface=ethernet-wan network=92.125.xx.xx

делаем так, чтобы серверы ходили в интернет через свои адреса (а не через общий NAT)
/ip firewall nat
add action=src-nat chain=srcnat src-address=192.168.0.10 to-addresses=95.125.125.2
add action=src-nat chain=srcnat src-address=192.168.0.11 to-addresses=95.125.125.3

и делаем трансляцию с внешних адресов на серверы (предполагаю, что у вас веб-сервера и нужно пробрасывать только один порт)
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=95.125.125.2 dst-port=80 protocol=tcp to-addresses=192.168.0.10 to-ports=80
add action=dst-nat chain=dstnat dst-address=95.125.125.3 dst-port=80 protocol=tcp to-addresses=192.168.0.11 to-ports=80

Если у вас только два офиса и в каждом только один провайдер, можно и IPSec в туннельном режиме.
Но я бы делал GRE-туннель с заворачиванием трафика в IPSec. Бонусы - прозрачная маршрутизация в одной таблице (в политики можно не смотреть), возможность подключения динамической маршрутизации, возможность построения отказоустойчивой структуры.
Например, если у вас в одном из офисов два провайдера, у вас будет два туннеля. Если один из провайдеров сломается, протокол динамической маршрутизации направит трафик в резервный туннель. В результате у вас будет отказоустойчивый канал между офисами с практически незаметным переключением при отказе.
На чистых туннелях IPSec такое сделать непросто, если вообще возможно.
А если у вас будет три офиса, это вообще маст хэв :)

Вот пример конфига.

router 1:
---создаем GRE-туннель
/interface gre
add !keepalive local-address=***router 1 WAN IP*** name=gre1 remote-address=***router 2 WAN IP***

--- и ip-адрес к нему
/ip address
add address=10.10.10.1/30 interface=gre1 network=10.10.10.0/30

---(политика согласования IKE у меня сделана на сертификатах, у вас может быть на pre-shared key - это каждый выбирает для себя; главное, чтобы с обеих сторон было одинаково)
/ip ipsec peer
add address=***router 2 WAN IP***/32 auth-method=rsa-signature certificate=cert-vpn dh-group=modp768 dpd-interval=10s dpd-maximum-failures=3 enc-algorithm=aes-256 \
local-address=***router 1 WAN IP*** nat-traversal=no passive=yes remote-certificate=cert-endpoint

--- политика шифрования трафика GRE от нас в удаленный офис
/ip ipsec policy
set 0 disabled=yes
add dst-address=***router 2 WAN IP***/32 level=unique proposal=***ваша политика шифрования*** protocol=gre sa-dst-address=***router 2 WAN IP*** sa-src-address=***router 1 WAN IP*** src-address=\
***router 1 WAN IP***/32

--- и прописываем статический маршрут в удаленную сеть
/ip route add distance=1 dst-address=***подсеть второго офиса*** gateway=10.10.10.2

---Еще может понадобиться сделать правило firewall для обмена трафиком GRE между офисами:
/ip firewall filter
add chain=input comment="GRE from other office" dst-address=***router 1 WAN IP*** src-address=***router 2 WAN IP*** protocol=gre

router 2 - настройки отображаются зеркально:

/interface gre
add !keepalive local-address=***router 2 WAN IP*** name=gre1 remote-address=***router 1 WAN IP***

/ip address
add address=10.10.10.2/30 interface=gre1 network=10.10.10.0/30

/ip ipsec peer
add address=***router 1 WAN IP***/32 auth-method=rsa-signature certificate=cert-vpn dh-group=modp768 dpd-interval=10s dpd-maximum-failures=3 enc-algorithm=aes-256 \
local-address=***router 2 WAN IP*** nat-traversal=no passive=yes remote-certificate=cert-endpoint

/ip ipsec policy
set 0 disabled=yes
add dst-address=***router 1 WAN IP***/32 level=unique proposal=***ваша политика шифрования*** protocol=gre sa-dst-address=***router 1 WAN IP*** sa-src-address=***router 2 WAN IP*** src-address=\
***router 2 WAN IP***/32

/ip route add distance=1 dst-address=***подсеть первого офиса*** gateway=10.10.10.1

/ip firewall filter
add chain=input comment="GRE from other office" dst-address=***router 2 WAN IP*** src-address=***router 1 WAN IP*** protocol=gre