Имеется маршрутизатор hAP ac lite TC (RouterOS 7.8) с внутренней сетью 192.168.0.0/24, который подключается не напрямую к сети провайдера, а посредством произвольного родительского маршрутизатора, получив от него по DHCP соответствующие настройки. При том, что внутренняя сеть последнего заранее не известна и вполне может оказаться той же, что и на гостевом устройстве, т.е. 192.168.0.0/24, а это обеспечит стопроцентный¹⁾ конфликт маршрутизации внутри гостевого устройства.

В процессе решения задачи перепробовал огромное количество разных идей, что своих, что почерпнутых с просторов Интернета, ни одна из которых, увы, не сработала. Но с этим всем пришло понимание, в какую сторону нужно продолжать смотреть – изоляция интерфейса, смотрящего во вне, и внутреннего моста. И тут я случайно наткнулся на статью, которая, вроде, и была не совсем в тему, но…

В общем, решение данной задачи заключается в выделении моста²⁾ в отдельную виртуальную таблицу маршрутизации (VRF, Virtual Routing and Forwarding):

/ip vrf add name="VRF 1" interfaces="Bridge 1"

Помимо этого, необходимо переместить используемые в этой сети сервисы в новую таблицу, иначе они могут перестать работать! В моем случае, это публикация порта WinBox³⁾ и NTP-клиент:

/ip/service set winbox vrf="VRF 1"
/system/ntp/client set vrf="VRF 1"

Полный список сервисов и методов их перемещения указан в официальной документации.