DNS-серверы: вторичные идут перед первичными?

Согласно маршруту по умолчанию, ваш роутер будет выбирать WAN-адрес в качестве исходного адреса для пингов. Этот адрес не будет распознаваться сопоставителем политик ipsec. Добавив простой маршрут для удалённой подсети к LAN, роутер выберет LAN-адрес в качестве исходного, и пакет совпадёт с политикой ipsec.

/ip route  
dst-address=192.168.0.0/24 gateway=bridge-lan

Замените 192.168.0.0/24 на вашу удалённую подсеть, а bridge-lan — на название вашего LAN-интерфейса или моста.

Это не решит вашу проблему с L7, так как локально инициализированные соединения никогда не будут подвергаться dstnat, а подключения из LAN уже имеют правильный исходный адрес.

Вы можете опубликовать своё решение по L7 для дальнейшего анализа (с обзором сети и ожидаемым поведением).

# model = 951Ui-2HnD

/interface bridge  
add arp=proxy-arp auto-mac=no fast-forward=no mtu=1500 name=bridge-local  

/interface bridge port  
add bridge=bridge-local interface=ether2-master-local  
add bridge=bridge-local interface=wlan1  
add bridge=bridge-local interface=wlan2  
add bridge=bridge-local interface=ether3-slave-local  
add bridge=bridge-local interface=ether4-slave-local  
add bridge=bridge-local interface=ether5-slave-local  

/interface ethernet  
set [ find default-name=ether1 ] name=ether1-gateway
set [ find default-name=ether2 ] name=ether2-master-local speed=1Gbps
set [ find default-name=ether3 ] name=ether3-slave-local
set [ find default-name=ether4 ] name=ether4-slave-local
set [ find default-name=ether5 ] name=ether5-slave-local

/interface pppoe-client  
add add-default-route=yes disabled=no interface=ether1-gateway keepalive-timeout=60 max-mru=1400 max-mtu=1400 name=pppoe-out1  

/ip address  
add address=10.1.1.1/24 interface=bridge-local network=10.1.1.0  

/ip dhcp-server  
add add-arp=yes address-pool=pool1 authoritative=after-2sec-delay disabled=no interface=bridge-local lease-time=1d name=default  

/ip dhcp-server network  
add address=10.1.1.0/24 dns-server=8.8.8.8 gateway=10.1.1.1  

/ip pool  
add name=pool1 ranges=10.1.1.100-10.1.1.200  

/ip dns  
set allow-remote-requests=yes servers=8.8.8.8  

/ip firewall filter  
add action=drop chain=input dst-port=53 in-interface=pppoe-out1 protocol=udp  
add action=drop chain=input dst-port=53 in-interface=pppoe-out1 protocol=tcp  
add action=accept chain=input dst-port=500 protocol=udp src-port=500  
add action=accept chain=input protocol=ipsec-esp  
add action=accept chain=output protocol=ipsec-esp  
add action=accept chain=input comment="Разрешаем ограниченное количество пингов" disabled=yes limit=50/5s,2:packet log=yes log-prefix=icmp- protocol=icmp  
add action=drop chain=input comment="Отбрасываем лишние пинги" protocol=icmp  
add action=accept chain=input comment="Стандартная конфигурация" connection-state=established  
add action=accept chain=input comment="Стандартная конфигурация" connection-state=related  
add action=accept chain=forward comment="Стандартная конфигурация" connection-state=established  
add action=accept chain=forward comment="Стандартная конфигурация" connection-state=related  
add action=drop chain=input comment="Блокируем SSH перебор" dst-port=22 protocol=tcp src-address-list=ssh_blacklist  
add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3  
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage2  
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=10s chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage1  
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=10s chain=input connection-state=new dst-port=22 protocol=tcp  
add action=drop chain=forward comment="Стандартная конфигурация" connection-state=invalid  
add action=drop chain=input comment="Стандартная конфигурация" in-interface=pppoe-out1  

/ip firewall mangle  
add action=passthrough chain=output disabled=yes dst-address=192.168.0.0/24  

/ip firewall nat  
add action=accept chain=srcnat dst-address=192.168.0.0/24 src-address=10.1.1.0/24  
add action=masquerade chain=srcnat comment="Стандартная конфигурация" out-interface=pppoe-out1  

/ip firewall raw  
add action=notrack chain=prerouting dst-address=192.168.0.0/24 src-address=10.1.1.0/24  
add action=notrack chain=prerouting dst-address=10.1.1.0/24 src-address=192.168.0.0/24  

/ip ipsec proposal  
set [ find default=yes ] disabled=yes enc-algorithms=aes-128-cbc pfs-group=none
add enc-algorithms=3des lifetime=1d name=proposal1 pfs-group=modp1536  

/ip ipsec peer  
add address=peer.add.re.ss/32 dh-group=modp1536 enc-algorithm=3des exchange-mode=ike2  

/ip ipsec policy  
add dst-address=192.168.0.0/24 proposal=proposal1 sa-dst-address=peer.add.re.ss sa-src-address=src.add.re.ss src-address=10.1.1.0/24 tunnel=yes  

/ip route  
add distance=1 dst-address=192.168.0.0/24 gateway=bridge-local  

/tool netwatch  
add down-script="/ip dns set servers=8.8.8.8" host=192.168.0.5 up-script="/ip dns set servers=192.168.0.5"