Твоя конфигурация полная путаница. Убери строку с настройкой switch из конфига, не стоит смешивать яблоки с апельсинами! Что, чёрт возьми, делает 192.168.3?? в сети DHCP-сервера… Удалил. Изменил порядок и содержимое правил фаервола, как нужно. Какие порты подключены к тупым устройствам, которые не понимают VLAN-теги? Наверное, все? А какие к умным устройствам, которые понимают VLAN-теги? Вероятно, ни одного. Какие Ethernet-порты должны быть подключены к vlan10 (гостям)? Наверное, один, так что в примере ниже для этого использую ether3.
+++++++++++++++++++++++++++++++++++++++++++++++++++
Первое, что я бы сделал — обновил прошивку до 7.12RC.
_ # model = RB750UPr2 serial number
/interface bridge add admin-mac=48:A9:8A:71:22:42 auto-mac=no comment=defconf name=bridge protocol-mode=none vlan-filtering=yes
/interface ethernet set [ find default-name=ether1 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full comment=WAN mac-address=48:A9:8A:71:22:41 name=ether1-wan
set [ find default-name=ether2 ] mac-address=48:A9:8A:71:22:42
set [ find default-name=ether3 ] mac-address=48:A9:8A:71:22:43
set [ find default-name=ether4 ] mac-address=48:A9:8A:71:22:44
set [ find default-name=ether5 ] mac-address=48:A9:8A:71:22:45
/interface vlan add interface=bridge name=vlanguest10 vlan-id=10
add interface=bridge name=vlanhome20 vlan-id=20
/interface list add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik
/ip pool add name=dhcp ranges=192.168.7.50-192.168.7.254
add name=VLAN10_guests ranges=10.0.7.10-10.0.7.253
/ip dhcp-server add address-pool=dhcp disabled=no interface=vlanhome20 lease-time=1h name=MK1-LAN
add address-pool=VLAN10_guests disabled=no interface=vlanguest10 name=VLAN10-gasten
/system logging action add bsd-syslog=yes name=cloutikds remote=51.75.26.223 remote-port=5014 syslog-facility=syslog target=remote
/interface bridge port add bridge=bridge comment=defconf ingress-filtering=yes frame-types=admit-priority-and-untagged interface=ether2 pvid=20
add bridge=bridge comment=defconf ingress-filtering=yes frame-types=admit-priority-and-untagged interface=ether3 pvid=10
add bridge=bridge comment=defconf ingress-filtering=yes frame-types=admit-priority-and-untagged interface=ether4 pvid=20
add bridge=bridge comment=defconf ingress-filtering=yes frame-types=admit-priority-and-untagged interface=ether5 pvid=20
/ip neighbor discovery-settings set discover-interface-list=LAN
/interface bridge vlan add bridge=bridge tagged=bridge untagged=ether2,ether4,ether5 vlan-ids=20 comment=homeports
add bridge=bridge tagged=bridge untagged=ether3 vlan-ids=10 comment=guestport
/interface list member add comment=defconf interface=ether1-wan list=WAN
add interface=vlanguest10 list=LAN
add interface=vlanhome20 list=LAN
/ip address add address=192.168.7.1/24 comment=defconf interface=vlanhome20 network=192.168.7.0
add address=10.0.7.1 interface=vlanguest10 network=10.0.7.0
/ip dhcp-client add comment=defconf disabled=no interface=ether1-wan
/ip dhcp-server lease add address=192.168.7.252 client-id=1:74:f7:f6:6f:c2:ef mac-address=74:F7:F6:6F:C2:EF server=MK1-LAN
add address=192.168.7.251 client-id=1:74:f7:f6:6f:c2:d5 mac-address=74:F7:F6:6F:C2:D5 server=MK1-LAN
/ip dhcp-server network add address=10.0.7.0/24 dns-server=8.8.8.8 gateway=10.0.7.1
add address=192.168.7.0/24 dns-server=8.8.8.8 domain=mk1.local gateway=192.168.7.1 netmask=24 ntp-server=192.168.7.1???
/ip dns set allow-remote-requests=yes
/ip dns static add address=192.168.7.1 comment=defconf name=router.lan
/ip firewall address-list add address=adminIP1 list=Authorized comment=“admin desktop”
add address=adminIP2 list=Authorized comment=“admin laptop” и так далее…
/ip firewall filter
add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked
add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid
add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp
add action=accept chain=input comment=“defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1
add action=accept chain=input src-address-list=Authorized
add action=drop chain=input comment=“defconf: drop all not coming from LAN” in-interface-list=!LAN
add action=accept chain=forward comment=“defconf: accept in ipsec policy” ipsec-policy=in,ipsec
add action=accept chain=forward comment=“defconf: accept out ipsec policy” ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related
add action=accept chain=forward comment=“defconf: accept established,related, untracked” connection-state=established,related,untracked
add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid
add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward comment=“port forwarding” connection-nat-state=dstnat {disable if not required}
add action=drop chain=forward comment=“drop all else”
/ip firewall nat
add action=masquerade chain=srcnat comment=“defconf: masquerade” ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat comment=“Seito online ordering” dst-port=8998 in-interface=ether1-wan log=yes log-prefix=seito protocol=tcp to-addresses=192.168.7.10 to-ports=8080
/ip traffic-flow set enabled=yes interfaces=*8
/system clock set time-zone-name=Europe/Amsterdam
/system identity set name=MK1-GW
/system logging add action=cloutikds prefix=info topics=info
add action=cloutikds prefix=error topics=error
add action=cloutikds prefix=critical topics=critical
add action=cloutikds prefix=warning topics=warning
/system ntp client set enabled=yes primary-ntp=40.119.148.38
/system package update set channel=long-term
/tool mac-server set allowed-interface-list=NONE
/tool mac-server mac-winbox set allowed-interface-list=LAN
/tool sniffer set filter-interface=*8
_ Не думаю, что нужно указывать NTP в строке DHCP-сервера. Ты уже настроил роутер как клиент NTP (он получает время с внешних серверов), дальше в настройках роутера нужно добавить опцию NTP-сервера, которым будут пользоваться все клиенты, просто указывая в своих настройках NTP интерфейс своей подсети — 192.168.7.1. Если хочешь ограничить доступ к NTP для определённых пользователей — тогда потребуются дополнительные настройки.
