Проброс портов с WAN на хост за Wireguard

Ну, есть два подхода, и ваш выбор определит, какой вариант конфигурации использовать. Вопрос: хотите ли вы знать, кто такие внешние IP-адреса на сервере M@ (то есть идентифицировать их)?  

Если нет → тогда нужно делать source-nat всего трафика, проходящего через туннель wireguard на M1 → преимущество в том, что манглинг не требуется, и вы сможете определить пользователей каким-то другим способом на M1.  

Если да → тогда придется манглировать трафик, приходящий по wireguard на M2, чтобы роутер понимал, куда отправлять ответный трафик (поскольку он приходит с www (внешних пользователей), по умолчанию роутер попытается отправить ответ через локальный WAN).

Мне нужно увидеть полный конфиг, MT OS не работает изолированно. /export file=любое_имя_на_ваш_выбор (без серийного номера роутера, любой публичной IP-информации, ключей и т.д.)

Да, оба роутера, пожалуйста.

M1 ПЕРВЫЕ НАБЛЮДЕНИЯ. Опасное правило в цепочке INPUT. Я понимаю, что вы сузили круг, но WAN-адреса можно подделать. Главное правило — настраивать роутер только из-за его внутренней сети. То есть либо с устройства в LAN, либо с самого роутера, подключившись через VPN, например, wireguard.

/ip firewall filter add action=accept chain=input comment=Winbox dst-port=8291 in-interface-list=WAN protocol=tcp src-address-list=Winbox

Измените участников списка интерфейсов:  
/interface list member add interface=ether1 list=WAN  
add interface=wg_customername list=LAN

Рекомендую заменить стандартное правило более чётким набором правил…  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN TO:  
add action=accept chain=forward comment="internet traffic" in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat  
add action=accept chain=forward comment="enter WG tunnel" in-interface-list=LAN out-interface=wg_customername  
add action=drop chain=forward comment="Drop all else"

M2 НАБЛЮДЕНИЯ  
Измените разрешённые IP-адреса.  
/interface wireguard peers add allowed-address=10.255.180.0/24 comment=GTCloud endpoint-address=XXXXXXXXXXXXX.sn.mynetname.net endpoint-port=21227 interface=wireguard1 persistent-keepalive=25s public-key="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"

Та же рекомендация по правилу в цепочке INPUT по поводу доступа к конфигу. Имя таблицы маршрутизации совпадает с именем интерфейса wireguard, что очень запутывает и, возможно, мешает. ИЗМЕНИТЕ НА:  
/routing table add disabled=no fib name=**to-**wireguard1

ВАШИ МАРШРУТЫ, ПОХОЖЕ, НЕПРАВИЛЬНЫ. Если у вас не стоит маршрут по умолчанию в IP DHCP клиенте, то нужны оба:  
add dst-address=0.0.0.0/0 gateway=ISP1-gateway-ip routing-table=main  
add dst-address=0.0.0.0/0 gateway=wireguard1 routing-table=to-wireguard1

Если стоит маршрут по умолчанию, нужен только второй.

Также слегка измените правила firewall и сначала создайте адресный список:  
/ip firewall address-list add address=mainroutersubnetIP list=Authorized comment="AdminLAN IP на главном роутере"  
add address=10.255.180.3 list=Authorized comment="Admin удалённый ноутбук"  
add address=192.168.50.X list=Authorized comment="Локальный админский ПК"

Важно: нужно выяснить, какой LAN IP статически назначен (через DHCP lease) на основном роутере для АДМИНА (то есть его рабочий компьютер). Также создайте второго wireguard клиента для админа при удалённом доступе (например, ноутбук из любой точки). Определите локальный админский компьютер на этом роутере (статический DHCP lease).

Цепочка INPUT:  
Из:  
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
В:  
add action=accept chain=input comment="admin access" src-address-list=Authorized  
add action=accept chain=input comment="users to services" dst-port=53 protocol=udp in-interface-list=LAN  
add action=accept chain=input comment="users to services" dst-port=53 protocol=tcp in-interface-list=LAN  
add action=drop chain=input comment="Drop all else" { поставьте это правило последним, чтобы не выкинуть себя из доступа }

Цепочка FORWARD:  
Из:  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN  
В:  
add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat disabled=yes { включайте при необходимости или удаляйте }  
add action=accept chain=forward comment="allow port forwarding to server" in-interface=wireguard1 dst-address=192.168.50.3  
add action=accept chain=forward comment="allow admin to lan" src-address-list=Authorized dst-address=192.168.50.0/24  
add action=drop chain=forward comment="Drop all else"

Ну что, запутались? Почему у вас проброс портов на тот же самый сервер и тот же порт в этом роутере? Я думал, что идея в том, чтобы люди обращались к главному роутеру, а не к дополнительному, чтобы попасть на этот сервер???  

Если нет какой-то особенной причины — это правило надо удалить.

/ip firewall nat add action=dst-nat chain=dstnat disabled=yes dst-port=3389 protocol=tcp to-addresses=192.168.50.53 to-ports=3389

Теперь про Mangle…  
ИСПРАВЛЕНО:  
/ip firewall mangle add action=mark-connection chain=prerouting comment="Mark Incoming WireGuard1 Connection" connection-mark=no-mark in-interface=wireguard1 new-connection-mark=Wireguard-In passthrough=yes  
add action=mark-routing chain=prerouting comment="Route Return for Incoming WireGuard Connection" connection-mark=Wireguard-In new-routing-mark=to-wireguard1 passthrough=no

Чтобы управлять 200 роутерами, я однозначно посмотрел бы в сторону чего-то такого, чтобы упростить жизнь. https://admiralplatform.com/ Второй момент — если бы ты был моим IT-менеджером или консультантом, я бы подал на тебя в суд за халатность, если что-то пойдёт не так... Да, когда пытаешься пробросить порт с публичного IP R1 через WireGuard на сервер на R2, самый простой способ — сделать sourcenat трафика, входящего в туннель на R1. Минус в том, что публичные IP пользователей не будут попадать на сам сервер, а некоторым это важно — чтобы записать или знать эти данные. Но тут есть и подводные камни: приходится ещё и на R2 делать mangle.

Сознательно оставлять соединение с роутером доступным из интернета — это уже вопиющая халтура. А использовать стандартный порт winbox — это словно вишенка на торте безответственности. /ip firewall filter add action=accept chain=input comment=Winbox dst-port=8291 in-interface-list=WAN protocol=tcp src-address-list=Winbox