У вас в файрволе цепочка input не прикрыта. Как и DNS сервер. Вероятно, роутер занят прокачиванием DNS трафика. Посмотрите в Tool-Profile загрузку процессора по задачам.
По конфигурации:
Обязательно добавить:
/ip firewal raw
add action=drop chain=prerouting comment="Drop prerouting DNS udp" dst-port=53 protocol=udp in-interface-list=WAN
add action=drop chain=prerouting comment="Drop prerouting DNS tcp" dst-port=53 protocol=tcp in-interface-list=WAN
В /ip firewall filter добавить:
add action=drop chain=input comment="Drop input invalid" connection-state=invalid
add chain=input comment="Allow input established, related" connection-state=established,related
add chain=input comment="Allow ICMP" protocol=icmp
add action=accept chain=input comment="Allow SSH, Winbox - LAN" connection-state=new dst-port=8291,22,80 \
in-interface-list=LAN protocol=tcp
add action=drop chain=input comment="Drop input all" in-interface-list=WAN
Убрать или выключить там же:
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
Тут ether2 заменить на bridge:
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether2 network=\
192.168.88.0
DHCP клиент не требуется, коль у вас pppoe:
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid interface=ether1