Кирилл Васильев

Похоже на изврат, но на RouterOS есть прокси сервер, который может отдать redirect пользователю.

Очень просто это делается на RouterOS с помощью PCQ очередей.
разберайтесь wiki.mikrotik.com/wiki/%D0%A0%D1%83%D0%BA%D0%BE%D0...

Это не проблема MIkroTik, это такие ваши настройки. настройте профиль должным образом.

Очень мало информации, покажите логи.
Если я вас правильно понял вы ходите с одного MikroTik-a завести несколько PPTP клиенто, до одного сервера. Если сервер PPTP находится за NAT, убедитесь что маршрутизатор который организует NAT поддерживает '
PPTP Helpers', так как PPTP использует GRE для инкапсуляции данных, а для его проброса через NAT необходим "умный" фаервол.
Посмотрите логи (debug) на MikroTik, определите кто является инициатором отключения первого туннеля. Если у туннелей совпадает Session ID, то разберайтесь с Windows.
Возможно Windows назначает одинаковые адреса на два туннеля?, винда этого не любит!
А вообще покажите Логи и с микротика и с Windows

ну во первых, нет cмысла разрешать формаврд трафик в фильтре, который у вас проходит через NAT, так как он у вас явно не запрещён в фильтре.
ipsec-esp и ipsec-ah будет ходить когда будут работать ipsec.
Явно проблема не в микротик а в настройках оборудования находящийся на NAT.
и netmap используется не для проброса портов

попробуйте BCP wiki.mikrotik.com/wiki/Manual:BCP_bridging_(PPP_tu...
вам должно это помочь

)) проблема с MTU видно когда "чтото работает, а чтото нет, или сайт на половину открывается" в вашем случае чтото другое.
Если по FTP не передаются файлы, то попробуйте пассивный режим, если он заработает, то скорее всего проблема в NAT-helper, если мне память не изменят то в cisco называется alg а в микротке /ip firewall service-port

также покажите трассировку с хоста до прокси сервера.
и покажите трассировку с прокси сервера в инет
и покажите трассировку с прокси сервера до хоста

ваша задача решается совершенно по другому ловите решение https://www.vasilevkirill.com/MikroTik/1/

Сделайте на прокси несколько src.address и ловите их в мангле при выходе в инет

Я вам настоятельно рекомендую почитать книжки и статьи о том как работают сети, так как у вас элементарно не хватает базы, вы путаете всё в одну кашу.
начните с этого https://habrahabr.ru/post/134892/
можно абыкак копипастом настроить сетевое оборудование, а потом кричать что оно не работает

Если вам нужен единый брудкаст домен со всеми вытекающими то используете либо EoIP или PPTP(BCP).
если вам нужны обычный L3 vpn то самым дешёвым является ipip туннель, так как у него самый маленький оверхафд.

Вообще нечего не понятно,
покажите конфиги микротиков

приветствую,
добавьте ещё одну подсеть на тот же интерфейс в вашем случае bridge и не занимаетесь ахинеей с двумя dhcp серверами на один брудкаст домен.
если вам нужно отделдить сети то используйте vlan если хост поддерживает tag то хорошо, если не то используйте access port

)))
у MikroTik есть встроенная опция называется PSD - port scanned detected
wiki.mikrotik.com/wiki/Drop_port_scanners

Непонятно зачем такая конструкция нужна, ну ладно, допустим что есть такой "головняк".
Так как WiFi это среда передачи данных, и коммутация происходит на уровне L2, соответственно для того чтобы заработал arp вам необходимо с начало поднять L2, до соединения с точкой доступа "ARP disable" работать не будет.
Убираете галку "default authorized" в настройках wirelless интерфейса.
во вкладке access list запретите для всех(00:00:00:00:00:00:00) мак адресов подключатся к точке. соответственно ваше устройство попробует подключится с начало к точке с наилучшим качеством сигнала, если устройство получит отбой то должен попробовать подключится к другой точке

покажите таблицу регистрации в момент теста
/interface wireless registration-table print