Проблемы с трафиком из локальной сети. mikrotik routeros, pppoe

Потратил тут примерно пару дней, на диагностику какой-то плавающей неисправности:

• все больше и больше ресурсов не открывалось из моей домашней сети.

• гугл, ютуб продолжали работать как ни в чем ни бывало.

• некоторый трафик на 80 порт тоже ходил

• некоторый — connection timeout

• https трафик так же на какое то количество ресурсов падал в timeout.

• проверил на gosuslugi — тоже не работает
  при этом icmp — окей, ответы есть, а curl говорит:
  curl https://www.gosuslugi.ru/
curl: (35) Recv failure: Соединение разорвано другой стороной

Выставлял для проверки чтобы с одного из локальных хостов трафик шел через VPN — все отлично работало.

• выключал — переставало

Так как я в эти дни много возился со своим MikroTik RouterOS, то понять в чем конкретно дело сразу не мог

• я настраивал входящие VPN с нескольких локаций

• пробовал wireguard и sstp

• соответственно какие то правила firewall для трафика из/в те сети настраивал

• я настраивал скрипты мониторинга, и рассылки уведомлений о событиях

• я настраивал скрипт пере-подключения pppoe, при условии серого ip (провайдер выдает как белые, так и серые адреса для pppoe интерфейса, это рандом — надо просто пере-подключиться, и может быть будет белый адрес)

• на днях routeros обновился до версии 7.10

  • ну мало ли на что можно подумать…

И вот, последние дни я наблюдаю что какие то ресурсы по http/https недоступны. И я уже начинаю наблюдать проблемы с другими протоколами (в рамках TCP).

Вчера уже tcpdump запустил, но ничего так и не понял. пытался отсеять запросы в локальной сети, потом pcap файл смотреть в wireshurk, но вот как то не хватило меня на это.
Сегодня уже смотрю, у мня в telegram картинки грузятся слишком медленно

Пришла мысль проверить как оно будет работать если выставить mikrotik как socks5 proxy, и с него открыть ресурсы (для тестов было достаточно habr.com и opennet.ru)

• а все работает окей, вообще без нареканий

Тогда я начинаю думать в сторону всяких правил firewall, но в больших сомнениях — ну как бы там нет такого, чтобы какие то ресурсы были выделены, куда трафик шел бы так, а в другое место иначе.

• прошерстил, повыключал всякие устаревшие/неактуальные nat-ы, почистил все что мог — не помогает.

думаю, ну черт с ним, надо попробовать пере-подключить pppoe на серый адрес.

• а, у меня ж скрипт для пере-подключения, при определении, что адрес «серый». а скрипт запускается при поднятии интерфейса, а сделать это можно только если добавить script на event on up в profile, который привязан к pppoe интерфейсу.

• ну, чтобы скрипт не убирать из профиля, я просто профиль поменял на стандартный «default», пере-подключился, получил новый ip, но при этом, вдруг, так же не из «серой» сети — и у меня все заработало сразу.

Ок, ясно. Дело в профиле для pppoe. Но что с этим делать то? в чем отличие от стандартного? есть одно — стоит Use UPnP=yes.
Выключаю и проверяю еще раз — меняю профиль на «pppoe_isp» — то с чем проблемы были — проблемы есть.

Проверил с профилем default-encryption — все работает как и должно, проблема отсутствует.

Для теста выставляю на профиле pppoe_isp : Change TCP MSS=yes, Use Compression=yes, Use Encryption=yes, включаю с этим профилем — и вуаля, проблемы больше нет.

Ну и вот как понять, в чем был затык то? почему трафик себя так вел? почему через socks с того же самого интерфейса соединения проходили? как вообще делать траблшутинг при таком?

// Знаю что в таком ключе публикации не приветствуются, и я надеюсь, что в комментариях будет больше полезного чем в теле этого поста.