Открою вам небольшой секрет, микротик хранит в себе все логины пароли когда либо создававшиеся, только вам не показывает. И если слить прошивку без шифрования и залить на какой нибудь ресурс инета, который вам все пароли из нее выдернет, то вы малость удивитесь. Ваш приятель так и сделал, а потом как вы пишете было несколько неудачных попыток, эти логины пароли и перебрал до подходящего, который Вы из бэкапа и восстановили. Так что если хотите после кого то закрыть доступ как Вы, то только смена пароля на новый.

Поменять на MikroTik hAP AC lite, он и 5 ГГц поддерживает.

Не тестируйте Bandwidth test, запуская клиента и сервера на микротиках. Я пробовал так тестировать и l2tp, и pptp, и ip-ip, и gre тонели, все показали скорость ниже чем канал. А при этом если тестировать скорость между машинами из подсетей, то упирается уже в ширину канала. Этот тест похоже сам грузит микрота и не дает ему нормально обрабатывать трафик. Тестировал между 4011 и 1009, 4011 и hap ac3 и 1009 и hap ac3, в обе стороны. И не важно с шифрованием или без.

На устройствпх работающих на вифи 2.4 включен блютус? Если да, выключить и радоваться норм скорости. Либо у вас эфир соседскими точками зашумлен на столько, что скорость падает до плинтуса.

Если везде белые ip от провайдера, строите ipip. Проще всего строится. Прописываете в настройках маршрутизации маршрут к сети филиала через этот тонель на главном микротике и обратно на филиальном и все тут же работает.
А вообще в первую очередь читайте про маршрутизацию что это, как работает и для чего нужна. Ибо без знания этого не вижу смысла лезть во всякие VPN тонели. Впн то поднимите, а почему не работает ничего, не поймете.