Ajuda p/ Configuração de Rede.

Boa noite pessoal.
Estou com o seguinte projeto.

Tenho um mikrotik onde recebe 3 links.
1 link de 300mb
1 link de 600mb
1 link de 15mb
Vou configurar o mikrotik servidor que recebe os links com failover mikrotik. Até aí tranquilo.

eth1 = link 1
eth2 = link 2
eth3 = link 3
eth4 = link 172.16.0.0/16.

Tenho rede de setores da empresa e os servidores.

172.16.0.0/16 Servidores.

172.16.1.0/16 (...) 172.16.8.0/16 setores da empresa.

A dúvida que estou é a seguinte.
Eu preciso que os setores da empresa não enxergam um ao outro.
Entretanto, todos os setores devem enxergar os servidores 172.16.0.0/16

172.16.1.0/16 (diretoria)
172.16.2.0/16 (secretaria diretoria)
172.16.3.0/16 (financeiro)
172.16.4.0/16 (vendas01)
172.16.5.0/16 (expedicao)
172.16.6.0/16 (ti)
172.16.7.0/16 (vendas02)
172.16.8.0/16 (wifi-visitas)

Fiz as configurações no ip>firewall>Filter Rules.

Chain=forward
src=address: 172.16.1.0/16
dst=address: 172.16.2.0/16
action=drop.

Porém, mesmo que o endereço origem > endereço Destino é bloqueado. O inverno não deveria ser bloqueado. a não ser que criasse a regra inversa.
Quando faço essa regra, ambos não enxergam um ao outro.

Alguém pode me ajudar?

Obrigado.

Então amigo.
O que quer fazer não é firewall e sim roteamento .
Diminui esses blocos.
Com os clientes na mesma porta e para simplificar a coisa cria Vlan e toca .

Fala Bruno. Bom dia! Beleza?
Sim, eu pensei em vlan sim.
Mas eu preciso que todos os grupos visualiza os servidores, pois são servidores de Domínio e sistemas de ERP.
Tem como fazer isso com as vlans?
Obrigado.

Sim,claro.
Para ser franco eu nunca precisei usar este cenário então não tenho conhecimento de prática.
Mas na época que estudei rede isso seria bem simples.Imagino que seja só adicionar as vlan nos servers.
Também daria para rotear na sua borda.Mas eu iria pelo método mais simples, faria vlan e pronto.

Tem algumas formas de fazer isso, se deseja fazer em camada 3, terá que fazer o seguinte:

Quebra as redes em redes /24, assim nenhuma se "encherga" por não fazer parte do mesmo broadcast, mas via roteamento consegue acesso as outras redes normal.

Se deseja fazer isso em camada 2, então parte para VLAN.