Кирилл Васильев

Так как у вас одинаковые сети в назначениях без подмены адреса этого не сделать.
вам необходимо будет подменять целую сеть same и netmap
где same - это src-nat на сеть (не на IP а на целую сеть)
и netmap - это dst-nat на сеть (не на IP а на целую сеть)
выглядеть это будет следующим образом
клиент стучится на 192.168.89.NNN/24 - где NNN последний октет адреса вашего сервера
клиента адрес подменяется адресом 192.168.90.NNN/24 - где NNN последний октет адреса вашего клиента
соответствено сервер обарщаеться к сети 192.168.90.0/24 а клиент 192.168.89.0/24
собирался по этой теме писать статью на хабр

1. вы шифруете инкапусулирующий трафик, я бы сделал наоборот. скрыл даже присутствие l2tp. шифровал всё(NAT-T можно обойтись одним внешним адресом) либо использовал стандартную возможность микротик, недавно появилась в микротик ipsec накручивать на любой туннель.

2) если ключи выданы значит всё ок, но если у вас паранойя по поводу шифрования то wireshark вам в руки

Насоветовали тебе я смотрю =)
то что ты пытаешься сделать называется NAT один к одному, распространнёная настройка
лови решение
wiki.mikrotik.com/wiki/How_to_link_Public_addresse...

осилили или разжевать?