zealic

凡人老，就会死，化为黄土一抔。
代码旧，将腐化，聚成屎山一座。

没有什么精妙的设计敌得过一句："时代变了，大人！"，也即是："食大便了，码农！"。

华为 Mesh 的限制很大，主要体现在不能自定义网段，不能运行在 AP 模式，如果你买的是 Q2/Q6 的话，他必须运行在路 Router 模式的原因是他的家长控制等路由器功能需要。

建议换 Netgear RBK752/RBK753 ，华为有的功能都有，AP Mesh 也是无缝切换，当然切换到 AP 模式大多数功能就不能用了。

现在的路由如大店买的可以七天无理由退货。

关于 ipkvm ，找到个比较有意思的，利用树莓派实现 ipkvm： https://github.com/pikvm/pikvm
相比上面的 控控 A2 ，更能保证安全性和隐私。

@xenme 大概理解你的应用场景了。
首先 ROS 支持 Container : https://help.mikrotik.com/docs/display/ROS/Container

1. 你这个场景最常见的方式还是走虚拟机，简单，但是特殊情况比如母鸡挂了没法用。
2. 其次就是物理支持，也就是 MiniPC with IPMI ，也就是你上面提到的 NUC with vPro ，这个特殊情况也能用，但是成本高。
3. 最后经济的物理方式就是：RS232 to Ethernet ，即设备带串口，然后将其适配到 Ethernet ，这个软件硬件都有，较为经济但是最麻烦；更 Hack 一点可以自己写代码做 eth2rs232 的适配。
4. 还是上面的方法，ROS 嵌入容器，前提是你的 ROS 设备性能足够，并且是架构为 x86_64|arm64 。

Mikrotik ROS 就行
直接 Wireguard/Zerotier 进去，Winbox IP 登录，Winbox Neighbors 登录，这些不行还可以 mac-telnet-shell,mac-ping-shell,mac-winbox-login
然后再在里面跑个 OpenWRT Container ，这下啥都有了。

zerotier/wireguard

如果你是想解决爆破登录的源 IP 全部来自内网的问题，你需要的应该是 netmap ，而不是 dst-nat

https://forum.mikrotik.com/viewtopic.php?t=107311

你这里顺序有问题 WAN 的 masquerade 规则尽量放最下面。
为了安全还要在 Filter rules 里面尽量做白名单规则，其他的都 Drop 。