ну так он сейчас от резерва работает же

И с пониманием, что СДЕЛАЕТ правило 4 тоже у вас плохо.

а не

Может я не правильно обьяснил но это работает

Правило не даёт нетватчу пингать 8.8.4.4

Это микротики...

Это работает, но не так, как Вы хотите. )

Это работает ракета, не понимаю в чем проблема с вашей точки зрения

с хайлинками - идеально

я же говорю, скорее всего я не правильно обьяснил, ибо не спец обьяснять) щас скину мой конфиг

Проблема в том, что в аутпуте еще не окончательно определен исходящий интерфейс. Поэтому то, что Вы рубите и то, что надо рубить может не совпадать. ) Посмотрите таблицу пакет флоу.

Понимаю. Но такого решения достаточно. )))

/ip route
add check-gateway=ping distance=3 gateway=$gateway_isp1
add comment=ISP2 disabled=yes distance=2 gateway=192.168.8.1
add comment=ISP1 check-gateway=ping distance=1 dst-address=8.8.4.4/32 gateway=$gateway_isp1
/tool netwatch
add down-script="/ip route enable [find comment=ISP2];\r\
   \n/system script run allert_reserve" host=8.8.4.4 interval=55s up-script="/ip route disable [find comment=ISP2];\r\
   \n/system script run allert_main"

/ip firewall filter
add action=drop chain=output dst-address=8.8.4.4 out-interface=lifecell

Работает, теперь только от резервного

Прикольно. )

Ну блин, я понимаю что есть ньюансы, но это работает. Нат отключаю ибо когда резерв должен пускать только критическое оборудование в сеть

Вы действительно считаете, что собственно НАТ что-то запрещает или разрешает? )

А причём тут нат? я в нетватче меняю его потому что когда работает резерв не все могут ходить в инет, а только пару пк