Пользователи общедоступной сети не могут пинговать или делать что-либо, кроме как просматривать страницы.

Похоже, у вас включен прозрачный прокси в профиле пользователя для вашего IP-хотспота. Это позволяет серверу хотспота получать HTTP-запрос и проксировать его на целевой сервер, а затем отправлять ответ вашему клиенту хотспота. Трафик, отличный от HTTP, не проксируется, поэтому требуется маршрут от удаленного хоста к клиенту хотспота (а не просто к роутеру Mikrotik). Например, у клиента может быть приватный IP-адрес, и нет рабочего преобразования NAT в публичный IP. В этом случае HTTP будет работать (потому что роутер проксирует HTTP-запросы и может общаться с приватным IP), но не-HTTP-трафик будет не работать, потому что хосты в интернете не смогут дойти до приватного IP клиента хотспота. Так что, если вы используете приватные IP-адреса для клиентов хотспота, должны быть IP-привязки или правила NAT, или хотспот-сервер должен маскировать трафик, чтобы остальной трафик проходил. Похоже, вы уже знаете, в чем проблема. Я бы дал вам примеры правил NAT, но я пока не разобрался, как правильно настроить NAT для хотспота.