со стороны подсетей за чекпоинтом (100,0\24 3,0.\24), конкретно вот прям ща с хоста 192.168.100.204 беру например VNC viewer (VNCсервер есть на компе 10.11.0.191 за микротиком, как понятно) и жму коннект - не соединяет. Выделяю правило вот первое которое на микроте (да, оно established) и жму enable (оно переподключается), возвращаюсь на хост  192.168.100.204 - запускаю вьювер - есть контакт. Тут же иду на хост 192,168,3,50 (напомню, established тоже с сетью 10,11,0,0), повторяю то же самое всё и работает. А с 192.168.100.204 уже не работает (established как был так и есть на всех правилах)

да это я условно написал, с точки зрения одного правила на все подсети (тоже странно будет и колхоз, имхо)

не должно быть "одного правила на все подсети", если у вас разные подсети.

чейн форвард экшн дроп адрес-лист=!список_статики ин-интерфейс=гостевой дст-адрес=!адрес_прокси

да, сейчас стоит на всех правилах require. Чекну, спасибо

эээ... А этот трафик будет через ЦП проходить?

хотя icmp echo ходит в обе стороны и с обеих сторон без проблем согласно всем правилам

Причина может быть и в файерволе, и в роутинге. Может и в манглах, может в NAT.

ну правило то так будет выглядеть

а работать оно будет? )

порт открывается телнетом, когда внц не может подключиться?

мту? я не помню как с ним дела при тонельном ипсеке обстоят. но лично я бы рекомендовал гре/ипсек строить например, и решать подобные вопросы маршрутизацией, а не политиками

я бы предложил выложить весь конфиг на пастебин (/export hide-sens terse), причём обоих микротиков. Но сам читать не буду - уйду скоро :)
Слишком во многих местах может мисконфиг спрятаться.

опять же, с роутингом, в теории, всё ОК, если трейс проходит правильно. Но это без учёта манглов...

мож там правила особые на внц, которые трафик маркируют, и трафик потом заворачивается куда не надо.

не, тут точно не мту

вторая сторона ЧекПоинт - я писал выше)

проверю

да, точно )

и посмотрите, нет ли залипших соединений в IP - Firewall - Connections в момент, когда подключиться не можете.
И посмотрите аналогично на чекпойнте.