Как сделать 2 изолированные сети на одном mikrotik?
Делаем два разных бриджа, пихаем туда нужные порты, назначаем адреса и настраиваем два дхцп для этих бриджей, route фильтрами или фаерволом запрещаем роутинг между подсетями.
С гостевыми точками также.
П.3. в nat правилах просто указать интерфейс впн как шлюз для подсети этой точки
1. Создать виртуальные интерфейсы wifi для двух локальных сетей и два для гостевых.
2. Объединить в бридж нужные lan и wifi интерфейсы
3. Присвоить каждому бриджу к которому подключены "хабы" ip адрес из сети 1 и 2 соответственно (адресация разумеется не должна пересекаться), настроить для этих интерфейсов dhcp сервера.
4. Настроить отдельный dhcp для гостевых wifi (опять же, сети должны отличаться)
5. Настроить nat и правила фаерволла запрещающие хождение пакетов между сетями.
6. Настроить маркировку для пакетов из 2-ой гостевой сети и на основе этих меткок сделать отдельный default route   где шлюзом будет vpn интерфейс, ну и nat для него нарисовать.