Faill Over + VPN com acesso externo

Galera, sou novo no fórum e estou com alguns problemas e gostaria de auxílio. Trabalhei 2 anos em um provedor e utilizava bastante mikrotik porém algumas configurações mais simples, agora estou em uma empresa e surgiu a nessecidade de conectar as filiais de diferentes cidades usando uma VPN, Contratamos uma empresa para fazer a ligação física (Transporte + Trafego IP) onde foi colocado uma RB da empresa em casa ponto e esta RB entrega um Ip classe C.
Como a vpn é apenas para troca de informações e não para navegação em casa filial há um ou mais links de internet, ai que estou com problemas eu preciso que todas as filiáis se comuniquem entre si pelo ip da VPN, Naveguem pelo link que estiver como primário, além de redirecionamento de portas tanto no IP válido do link quanto no IP da VPN.
Exemplo:
Filial 1:
Link 1 : pppoe - Fibra provedor local - 1 ip válido
Link 2 VPN - Range ips inválidos Classe C
Link 2 : pppoe - ADSL - 1 Ip válido

Filial 2:
Link 1: Range de Ips Válidos /29 - Fibra
Link 2: VPN - Range ips inválidos Classe C
Link 2 : 1 ip válido

Na filial 1 configurei os pppoe's normalmente, defini o ip inválido da VPN numa bridge e vinculei a porta correta, criei as rotas fixas para todas as classes da VPN (192.168.xxx.xxx -> 192.168.ZZZ.ZZZ) x seria a classe da filial que preciso atingir e Z seria o meu gateway local da VPN, também criei 3 rotas fixas de saída 0.0.0.0/0 -> pppoe 1 = distance 1 ,  0.0.0.0/0 -> VPN = distance 2 ,  0.0.0.0/0 -> pppoe 2 = distance 3. Quando uma se ativa a outra fica desativada.
Na filial 2 configurei um ip fixo do range /29 na bridge, um ip da VPN em outra bridge e o segundo válido em outra e vinculei as respectivas portas. As rotas fiz igual na filial 1.
O problema é o seguinte a filial 1 precisa navegar a internet pelo pppoe1 e a filial 2 pelo trafego ip da VPN.
Quando eu tenpo pingar a filial 2 atravéz da filial 1 pela vpn funciona normalmente, inclusive acessos e redirecionamentos, quando tento pingar a filial 1 atravéz da filial 2 não vai.
Na filial 2 fui obrigado a deixar o provedor com o range de ips /29 como primário, pois se ele ficar em secundário perco acesso externo nesses ip's e todos preciso de redirecionamentos.
No contexto geral é isso, quando um dos meus links fica como segundário perco acesso externo a ele, seja os válidos ou os da VPN, já os pppoe's não.

Sei que ficou complexa a coisa mas se alguém puder me dar uma luz agradeço.

ficou mesmo faz um desenho e posta que te dou uma força ai