А в обратную сторону?

Может в роуты нужна статическая запись о нахождении подсети Vpn для запросов из локальной? (Хотя мне кажется, что если сети существуют на одном микротике и нет запрещающих правил, они должны знать друг друга)

Минуту.

Скрин или распечатку?

С маршрутизацией всё нормально у вас, на текущем этапе.

Достаточно сказать есть или нет, пока.

То, что bridge отвечает мы уже выяснили.

Все правила для цепочки forward

Разрешающие правило для VPN не нужно создавать, политика по умолчанию в MT accept

9    ;;; defconf: accept in ipsec policy
     chain=forward action=accept log=no log-prefix="" ipsec-policy=in,ipsec

10    ;;; defconf: accept out ipsec policy
     chain=forward action=accept log=no log-prefix="" ipsec-policy=out,ipsec

11    ;;; defconf: fasttrack
     chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix=""

12    ;;; defconf: accept established,related, untracked
     chain=forward action=accept connection-state=established,related,untracked log=no log-prefix=""

13    ;;; allow vpn to lan
     chain=forward action=accept src-address=172.16.30.0/24 in-interface=!ether1 out-interface=bridge log=no log-prefix=""

14    ;;; defconf: drop invalid
     chain=forward action=drop connection-state=invalid log=no log-prefix=""

15    ;;; defconf: drop all from WAN not DSTNATed
     chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN log=no log-prefix=""

Вот!

Все правила стандартные от последней прошивки.

Извините, но нет возможности пока что проверить.

Правило для VPN вам не нужно в forward, только в input для IPSec/L2TP

В вашем случае не нужно

Убрал. Его взял с сайта, когда искал решение.

В input имеется:
chain=input action=accept protocol=udp dst-port=1701,500,4500 log=no log-prefix=""
chain=input action=accept protocol=ipsec-esp log=no log-prefix=""

Правила у вас в порядке теперь.

На ваших сервисах внутри локальной сети используется фаервол или антивирус с функцией фаервола?

Стоковая прошивка по дефолту после перезагрузки. Только адрес подсети изменен на 192.168.1.0/24 и от провайдера получаю статические настройки для WAN

Defender+Firewall (Win10) Все по умолчанию с последними обновлениями.
Но если сменить адреса для выдачи vpn-клиентам на диапазон из локальной сети, то связь имеется. Поэтому, думаю, что защита  тут роли не играет. Дело где-то в настройках МТ.