Victor

Всё это происходит внутри бриджа, скорее всего. Значит, надо эти же правила ставить в bridge - filter. Без дополнительных настроек фаервол не действует на бридж.

У микротика НЕТ такого, как у Keenetic, например, что новый мост будет с вланом собственным (по крайней мере в прошлой версии ROS). Вы создаёте новый интерфейс (не влан, можно мост, можно просто на ether 5), ставите на него адреса, пулы dhcp. И тогда уже, если вам надо иметь тегированный порт, вы его отключаете из моста, на него создаёте вланы, и эти вланы включаете в мост той сети, в какой они должны быть.

Решение получилось таким: роутер не сразу сохраняет изменение конфигурации... Поэтому отключение dhcp сервера для домашней сети удалось командой с 5 попытки. Спасибо за советы.