Zrobiłem sobie środowisko testowe, podobne do Twojego, żeby zobaczyć czy działa:

poniżej test transmisji przy działających obu łączach:
https://pastebin.com/zAHZ3m06

opis po kolei:

1. Z Internetu wołam najpierw IP_WAN domowego routera z różnymi portami:
222 dla hosta 2.100
oraz 223 dla hosta 3.100
tcpdump jest na domowym routerze, żeby pokazać skąd przyszło połączenie i kto odpowiedział
Mam konsolę SSH z obu hostów na hoście w Internecie

2. Z Internetu wołam IP_WAN routera Fryta z różnymi portami:
222 dla hosta 2.100
oraz 223 dla hosta 3.100
tcpdump jest na domowym routerze, żeby pokazać skąd przyszło połączenie i kto odpowiedział
Mam konsolę SSH z obu hostów na hoście w Internecie

3.  pokazany jest urywek firewalla na routerze domowym.
w łańcuchu dstnat_lan widać zarówno adresy wanb: 1.213 jak i wan: 10.1.1.2
co więcej, ponieważ nie było podanych protokołów to sam sobie dopisał oba czyli tcp i udp, stąd aż tyle linii dla marnych 4 wpisów.

4. Na koniec mwan3 z działającymi łączami wan i wanb

Podsumowując:
Jeżeli połączenie przychodzi ze świata i jest przekierowane na Wan-ach, to potem wraca tą samą drogą.
Konfigurację mam na OBU routerach Openwrt, żeby w razie czego  mieć wspólny punkt:

BusyBox v1.36.1 (2025-04-25 08:55:04 UTC) built-in shell (ash)

  _______                     ________        __
 |       |.-----.-----.-----.|  |  |  |.----.|  |_
 |   -   ||  _  |  -__|     ||  |  |  ||   _||   _|
 |_______||   __|_____|__|__||________||__|  |____|
          |__| W I R E L E S S   F R E E D O M
 -----------------------------------------------------------------------------
 |                                                                           |
 | OpenWrt 24.10-SNAPSHOT, r28627-0b392b925f                                 |
 |                                                                           |
 | Build time: 2025-05-01 07:16 UTC                                          |
 | Cezary Jackiewicz, [url]https://eko.one.pl[/url]                                     |
 |                                                                           |
 -----------------------------------------------------------------------------
 | Machine: innotek GmbH VirtualBox                                          |
 | Uptime: 0d, 01:03:32                                                      |
 | Load: 0.00 0.00 0.00                                                      |
 | Flash: total: 81.7MB, free: 71.4MB, used: 5%                              |
 | Memory: total: 230.5MB, free: 183.2MB, used: 20%                          |
 | Leases: 0                                                                 |
 | lan: static, 192.168.2.1                                                  |
 | wan: static, 10.1.1.2                                                     |
 | wanb: static, 192.168.1.213                                               |
 -----------------------------------------------------------------------------

ale to są połączenia wychodzące!!!

w mocnym skrócie bez wnikania w DNS-y itd
1. Wychodzisz WAN-em kolegi do np. google.com
2. google.com odsyła odpowiedź do WAN-u kolegi
3. Mikrotik wie, że transmisja była nawiązana od hosta 1.213 (bo zakładam że widzi tylko swój lan 1.x)  i do niego odsyła odpowiedź
4. Twój Openwrt dostaje ten pakiet na adresie 1.213 (wanb) i sprawdza kto u niego z puli 2.x/23 zamawiał stronę
5. odsyła odpowiedż do hosta w Twojej sieci.

Gdy wróci Twój WAN to hosty z końcówkami 2.x będą wychodzić Twoim WAN-em,  natomiast hosty z końcóœkami 3.x  nadal będą wychodzić WAN-em kolegi bo .... taką regułę dałeś przed regułą domyślną.

Zrozum, że przekierowanie portów to taka zabawka w której to Ty będąc gdzieś "w świecie" chcesz nawiązać połączenie z własnym hostami we własnej domowej sieci.
Hosty same nie nawiązują połączenia z Twoim telefonem.
A przy "dostępie do Internetu" to hosty nawiązują połączenie z jakimiś maszynami w świecie (coraz częściej robią to same i nawet o tym nie wiesz)

Tak z ciekawości. Rozłącz domofon i zrób kolejne połączenie. Zobacz czy będziesz miał ten sam adres zdalny 52.49.98.137 i port 8820

ustaw na chwilę domofon w sieci 2.X i wyjdź swoim WANem  i sprawdż co powie tcpdump

to zrób ten sam test tylko wybierz interfejs  br-lan i sprawdź
na br-Fryta masz maskaradę i te adresy z lan 3.17 były od razu zamieniane na 1.213

weź tcpdump-a bez -X żebyś tylko zobaczył nagłówki bo po co ci szyfrowana treść skoro na razie nie chcesz hackować transmisji

co jak co, ale taka komenda musi działać na routerze przy odczycie pliku:

tcpdump -r /tmp/dump.txt

np takie coś

# tcpdump -r dump.txt 
reading from file dump.txt, link-type EN10MB (Ethernet), snapshot length 262144
18:23:54.895178 IP 10.0.3.15.50343 > host-168-148.prnet.pl.123: NTPv4, Client, length 48
18:23:54.955733 IP host-168-148.prnet.pl.123 > 10.0.3.15.50343: NTPv4, Server, length 48
18:23:55.388921 IP 10.0.3.15.33337 > 10.0.3.3.53: 50984+ AAAA? dl.eko.one.pl. (31)
18:23:55.392363 IP 10.0.3.3.53 > 10.0.3.15.33337: 50984 0/0/0 (31)
18:23:55.392459 IP 10.0.3.15.44146 > 095160102195.warszawa.vectranet.pl.443: Flags [S], seq 391117436, win 64240, options [mss 1460,sackOK,TS val 1522457646 ecr 0,nop,wscale 5], length 0
18:23:55.430439 IP 095160102195.warszawa.vectranet.pl.443 > 10.0.3.15.44146: Flags [S.], seq 153664001, ack 391117437, win 65535, options [mss 1460], length 0
18:23:55.430467 IP 10.0.3.15.44146 > 095160102195.warszawa.vectranet.pl.443: Flags [.], ack 1, win 64240, length 0
18:23:55.430590 IP 10.0.3.15.44146 > 095160102195.warszawa.vectranet.pl.443: Flags [P.], seq 1:151, ack 1, win 64240, length 150
18:23:55.430768 IP 095160102195.warszawa.vectranet.pl.443 > 10.0.3.15.44146: Flags [.], ack 151, win 65535, length 0
...

@kowalmisiek
Porty z jakimi łączy się videodomofon możesz podejrzeć za pomocą tcpdump na routerze który ma słuchać u Ciebie na interfejsie WANB oraz filtrować ruch tylko ze źródłowego adresu videodomofonu, żebyś nie miał całego śmietnika na ekranie czy w pliku.

A jeśli chodzi o firewalla i porty.
Rozumiem że zrobiłeś przekierowanie jakiegoś portu ze swojego WAN na jakiś adres w LAN do jakiejś usługi i to działa.

Nie działa Ci dostęp z zewnątrz gdy chcesz wejść przez łącze kolegi?
No to tu masz rację, że musisz na Mikrotiku przekierować porty na swój adres WANB i jeszcze u siebie przekierować porty z WANB na hosta w LAN i jakiś jego port.

W ramach sprostowania 
Ja nie umiem pisać skryptów dlatego "free_mem" skopiowałem żywcem z githuba Cezarego.
Skoro Cezary przerobił kB na B poprzez mnożnik 1024 to ja nie miałem śmiałości proponować inaczej

Limit 50000 (B) wpisałem dla jaj, bo myślałem ze @smereka żartuje sobie pytając o taki cienki skrypt tym bardziej, że obrabia "rzeźby" python-owskie 

dopisałem jeszcze 'nvr'

No i oczywiście tak dla porządku do zmiany sekcja DHCP dla każdego VLAN-u na adresie startowym.

PS. podziwiam ludzi którzy uwielbiają "przygody" z nietypowymi maskami gdzie hosty zaczynają się od dziwnych mało intuicyjnych cyfr

poszczególne rzeczy możesz sobie odświeżać np tak:

# /etc/init.d/network restart
# /etc/init.d/firewall restart
# wifi

Sekcja mwan3  ma opcje
# mwan3
Syntax: mwan3 [command]

Available commands:
        start              Load iptables rules, ip rules and ip routes
        stop               Unload iptables rules, ip rules and ip routes
        restart            Reload iptables rules, ip rules and ip routes
....

ale nie zawsze tak się uda ponieważ na nawiązanych połączeniach restart firewalla może nie przynieść skutku i nie zobaczysz zmian w działaniu i wtedy potrzebny jest "reboot"

PS. a tak swoją drogą to trochę jesteś cwaniak wchodząc bezpośrednio na switcha kolegi z możliwością robienia brzydkich rzeczy w warstwie 2, a kolega do Ciebie musi iść  brzez bramę 

W ramach sprostowania.
Cieszymy się, że chcesz się uczyć ale... w tym wątku zacząłeś kombinować z adresami, maskami, że nawet Cezary w pewnym momencie nie wiedział co jest czym.
Propozycja z maską /22 skomplikowała by pewne sprawy o czym pisał Cezary w #55
Adresy i maski to nie jest wymysł Openwrt tylko powszechnie ustalona zasada bez względu na system.
Nieznajomość tych spraw powoduje problemy w KAŻDYM systemie, nie tylko w Openwrt
do konfigu Cezarego dopisałbym:

bo w tablicy routingu muszą być dwa wpisy odnośnie domyślnych tras.

Jedyną propozycją jaką podałem to była w tym wątku:  https://eko.one.pl/forum/viewtopic.php? … 32#p317532
Z tym, że zakłada ona na dodatkowym interfejsie zupełnie inną pulę adresową.
Jedną z zalet dla nowicjusza jest taka, że na OBU routerach macie JAWNIE pokazane porty WAN2 (Ty do kolegi, kolega do Ciebie)

W Twoim przypadku, Ty masz jawnie pokazany
dodatkowy interfejs WANB a kolega już tego nie ma, bo jak będzie chciał wyjść do Ciebie to tylko przez jednego hosta w swoim LAN-ie.

Nie wiem czy Mikrotik potrafi zrobić taki config, że gdy padnie jego WAN to uruchomi trasę przez hosta w LAN, nie mając drugiego WAN-u.

już w innym temacie pytałeś o połączenie obu sieci z awaryjnym dostępem do Internetu przez wzajemne łącze od kolegi.
Pod Openwrt to nie jest trudne zrobić taki setup.
Interfejs 'kolega' powinieneś traktować jako drugi wan z bonusem w postaci dostępu do sieci kolegi

W pokazanej konfiguracji masz bramę domyślną przez port 'wan' z pppoe.
Gdy znika pppoe nie masz bramy domyślnej na routerze, a powinieneś mieć drugą do wyboru, ale.... żeby interfejs 'kolega' nie nadpisał głównej bramy to trzeba ją zdefiniować z inną metryką.
To tak na początek, co widać z tych skromnych informacji jakie przekazałeś przez 4 strony.

A najlepiej jakbyś od początku, po kolei  rozpisał schemat połączeń, ponieważ po drodze masz Ubiquiti które nie napisałeś czy są przezroczyste czy jednak jest tam jakiś myk z adresami.
Oczywiście kolejny problem to odpowiednie ustawienia routera u kolegi.

ja też tak zrozumiałem że jesteście spięci "na krótko" host-host.
to zdanie:

nie było tu mowy, że każdy z was ma drugie zapasowe łącze, żeby wychodzić w świat. Jeżeli by tak było to po co zapasowym łączem wychodzić do kolegi żeby od niego wychodzić w świat skoro można od razu od siebie
Przy jednym dostawcy internetu, stosowanie wireguarda do połączenia obu sieci, jako zapasowe łącze do Internetu jest nieefektywne, ponieważ gdy jednej osobie padnie Internet to nie wyjdzie od siebie z domu do kolegi.
no chyba że ktoś łączy hosty za pomocą wireguarda w jednym LAN-ie, ale to jest specyficzny przypadek.

możesz edytować pliki i potem przesyłać je do odpowiednich katalogów w routerze.

jeżeli ma tam Openwrt to tutaj znajdziesz pomoc ale jak pod system RouterOS to pytaj na forum MT.