Этап 0. Аренуем VPS, настраиваем туннель с роутером. Проще всего wireguard, но можно и l2tp и даже ipip

Этап 1. Создаем таблицу маршрутизации

/routing table add disabled=no fib name=xoxo

Этап 2. Создание листа со списком сетей к которым нужно отправлять трафик. Адреса сервисов можно получить с помощью проекта DomainMapper

/ip/firewall/address-list

Этап 3. Маркировка трафика. Тут на этапе когда трафик попадает в цепочку прероутинга мы маркируем трафик который идет к нужному нам списку сетей. Тут в качестве sourece указана внутрення сеть роутера

/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=to-wg new-routing-mark=xoxo passthrough=yes src-address=src-address=192.168.31.0/24

Этап 4. Создание в созданной таблице маршрутизации дефолтного маршрута в интерфейс шлюза wireguard.

/ip route add disabled=no dst-address=0.0.0.0/0 gateway=wireguard1 routing-table=xoxo suppress-hw-offload=no

Этап 4. Правило NAT, что бы из локалки трафик уходил в туннель

/ip firewall nat add action=masquerade chain=srcnat out-interface=wireguard1