Mikrotik Как разделить сеть на два сегмента без изменения IP адресов и без VLAN?
Если я верно понял текущую картину, то решение довольно простое: трафик между двумя сегментами сети, даже в одной логической подсети, должен проходить через устройство L3, и путь этот должен быть исключительно единственным.
Есть коммутатор, в который подключены все клиенты - Switch1.
Есть коммутатор, в который подключены все сервера - Switch2.
Есть абстрактный микротик с двумя портами: Lan1, Lan2.
Объединеяем порты Lan1 + Lan2 в Bridge1.
На Bridge1 вешаем адрес 192.168.195.1.
Switch1 => Lan1. Switch2 => Lan2. 
И все. Весь трафик между клиентами и серверами проходит через  Bridge1. Любые правила для фильтрации и ограничений.
загнать адреса пользователей в адрес лист, загнать адреса серверов в адрес лист. создать запрещающее правило в форварде, где источник пользователи, назначение - адреса серверов. а выше делать разрешающие правила конкретному пользователю(ям) до конкретного сервера и порта.