Никита Сизов

Отправляю на FTP-сервер по расписанию через tools/fetch

Мутно у вас в конфиге mangle. Зачем-то маркировка соединений идет в цепочке input, хотя более правильно делать её на prerouting.
Я бы делал так:
/ip firewall mangle
add action=mark-connection chain=prerouting connection-mark=no-mark in-interface=vlan101 new-connection-mark = cm-ISP101 passthrough=yes
***повторить для двух других провайдеров.
Это правило обработает как соединения, адресованные роутеру (input) так и всё, что предназначено для передачи в nat

/ip firewall mangle
add action=mark-routing chain=prerouting connection-mark=cm-ISP101 new-routing-mark=rm101 passthrough=yes
** повторить для двух других провайдеров.
Это правило должно быть расположено ниже предыдущего. Оно поставит метку маршрутизации для пакетов в соединениях, которые мы выше пометили как cm-ISP101 - cm-ISP103. Для тех, которые

/ip firewall mangle
add action=mark-routing chain=output connection-mark=cm-ISP101 new-routing-mark=rm101 passthrough=yes
** повторить для двух других провайдеров.
Это правил повторяет предыдущее, но относится к тем пакетам, которые роутер формирует сам - они не проходят цепочку prerouting.
Правила NAT и таблица маршрутизации у вас вроде бы нормальные.

Последние два похожи на работающий NAT. 443 - веб-сервер Микротика, 8291 - Winbox (программка для управления микротиком), 2000 - см. описание.
Почему бы в фаерволле не открыть те, которые нужны, а остальные закрыть? Тогда и разбираться не придется.

Для вас это будет выглядеть как-то так (не тестировал, пишу по памяти):
/ip firewall filter
add chain=forward src-address=локальная подсеть
add chain=input protocol=tcp dst-port=22,1723
add chain=input protocol=gre
add chain=forward protocol=tcp dst-port=3389 dst-address=адрес терминального сервера
add chain=input action=drop
add chain=forward action=drop

1. Разрешаем локальным хостам ходить в интернет. Здесь открыто всё, я обычно открываю только http и https, остальное при необходимости.
2. Разрешаем входящие соединения 1723 (pptp) и 22 (управление Микротиком по SSH). Использовать стандартный порт, кстати, небезопасно, но вот тут подсказали очень крутую штуку.
3. Для PPTP еще нужен протокол GRE
4. Доступ по RDP к терминальному серверу, или что там у вас.
5. Все остальные входящие отбрасываем
6. Все остальные маршрутизируемые (через NAT, например) тоже.

Любой QoS состоит из двух частей.
1. Отмаркировать интересующий трафик в /ip firewall mangle. Тут вам нужно проанализировать соединения на zoom.us и понять, как именно туда/оттуда передаются данные. Анализировать можно по-всякому - через текущие соединения на том же микротике, через Wireshark, как вам удобнее. Ниже пример, как я маркирую трафик для RTP-соединений с голосовым провайдером:
// маркируем соединения
/ip firewall mangle
add action=mark-connection chain=prerouting connection-mark=no-mark dst-port=\
16384-16538 new-connection-mark=VOIP passthrough=no protocol=udp
// маркируем пакеты в этом соединении
add action=mark-packet chain=prerouting comment=VOIP connection-mark=VOIP \
new-packet-mark=VOIP passthrough=no

2. Создать правила приоритета для интересующего трафика. Это делается через очереди:
/queue tree
add name=queue1 parent=wan-interface priority=1 queue=default
add name=queue2 packet-mark=VOIP parent=queue1 priority=2 queue=default
add name=queue3 packet-mark=no-mark parent=queue1 priority=8 queue=default

Ну и еще несколько моментов:

• Надо понимать, что эффективно управлять вы можете только исходящим трафиком. Входящие пакеты находятся в вашей зоне влияния, когда они уже пришли, поэтому с ними не имеет смысла что-либо делать. Если, конечно, нет задержек в локальной сети, что встречается редко.
  
• Голосовая и видеосвязь критична к времени прохождения пакета. А т.к. zoom.us находится, судя по названию, за океаном, каждый пакетик по пути проходит много промежуточных устройств, на каждом из которых возможны задержки, которыми вы управлять никак не можете. Если вы устраиваете конференции с людьми из России - не лучше ли поискать что-то поближе? Если основная аудитория из США, тогда, конечно, придется терпеть.
  

Настройте статический маршрут с аргументом pref-src туда, куда подключается ваш PPTP-клиент:
add distance=1 dst-address=хх.хх.хх.хх/32 gateway=wan-interface pref-src=yy.yy.yy.yy

Здесь хх.хх.хх.хх - адрес, к которому должен подключаться pptp-клиент, yy.yy.yy.yy - адрес, с которого он должен подключаться.
Либо прописать статический маршрут через конкретный интерфейс. Зависит от того, на одном у вас интерфейсе адреса, или на разных. Вообще лучше конфиг, чтобы не гадать.

VLAN тут не особо нужен.
Можно тупо подключить сервера в отдельные порты (скажем, ethernet4 и ethernet 5) и добавить их в бридж с ethernet-wan:
/interface bridge
add mtu=1500 name=bridge-wan
/interface bridge port
add bridge=bridge-wan interface=ethernet-wan
add bridge=bridge-wan interface=ethernet4
add bridge=bridge-wan interface=ethernet5
После этого назначить внешний адрес 95.125.125.4 бриджу
/ip address
add address=95.125.125.4/хх interface=bridge-wan network=92.125.xx.xx
А адреса 95.125.125.2 и 95.125.125.3 прописать напрямую на сервера.
Это будет работать.
Но в этом случае функции фаерволла должны будут исполнять сами сервера. Логично централизовать эту функцию на маршрутизаторе. Поэтому я бы делал через NAT.
прописываем все три адреса на интерфейсе ethernet-wan:
/ip address
add address=95.125.125.2/хх interface=ethernet-wan network=92.125.xx.xx
add address=95.125.125.3/хх interface=ethernet-wan network=92.125.xx.xx
add address=95.125.125.4/хх interface=ethernet-wan network=92.125.xx.xx

делаем так, чтобы серверы ходили в интернет через свои адреса (а не через общий NAT)
/ip firewall nat
add action=src-nat chain=srcnat src-address=192.168.0.10 to-addresses=95.125.125.2
add action=src-nat chain=srcnat src-address=192.168.0.11 to-addresses=95.125.125.3

и делаем трансляцию с внешних адресов на серверы (предполагаю, что у вас веб-сервера и нужно пробрасывать только один порт)
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=95.125.125.2 dst-port=80 protocol=tcp to-addresses=192.168.0.10 to-ports=80
add action=dst-nat chain=dstnat dst-address=95.125.125.3 dst-port=80 protocol=tcp to-addresses=192.168.0.11 to-ports=80