Página de Aviso pelo Hostpot
* cria uma entrada de dns statica em IP DNS (ex: provedor.com.br)
* no campo address coloque o gateway do hotspot,depois  crie um profile com essa config:
/ ip hotspot user profile
add name="debito" session-timeout=20s idle-timeout=none
keepalive-timeout=20s status-autorefresh=1m shared-users=unlimited
rate-limit="64k/64k" transparent-proxy=yes open-status-page=always
advertise=yes advertise-url=provedor.com.br/radvert.html
advertise-interval=1s advertise-timeout=never
-------------------------------------------------------------------------------------------------------------------------
VPN no Mikrotik
Para habilitar para fora.Vá em IP/Firewall/Service Ports e HAbilite GRE e PP
VPN para dentro da rede.Vá em IP/Firewall/NaT
Add Chain=dstnat Protocol=(6)TCP DST.Port=1723 IN.Interfdace= externa ACtion=dst-nat to-address= (coloque o IP da máquina que vai ser acessada via VPN)
to-ports=0-65535  | Add Novamente Chain=dstnat Protocol=(6)TCP DST.Port=1701
IN.Interface= externa Action=dst-nat to-address= (coloque o IP da máquina que vai ser acessada via VPN.) to-ports=0-65535
Lembrando que na máquina que vai ser acessada a conexão de entrada deve
estar pronta com tudo certinho e no FIrewall da máquina as portass 1723 e 1701
já devem estar liberadas.Só é possível fazer isso em uma máquina. Se for fazer em outra máquina depois mude  o IP da máquina na regra.
--------------------------------------------------------------------------------------------------------------------------
VNC fora do Controle de Banda
/ ip firewall mangle
chain=prerouting protocol=tcp dst-port=5800 action=mark-connection new-connection-mark=vnc-conn passthrough=yes
chain=prerouting connection-mark=vnc-conn action=mark-packet new-packet-mark=vnc-pack passthrough=no
E crie uma queue acima de todas escolhendo essa marcação:
/ queue simple
name="VNC" dst-address=0.0.0.0/0 interface=all parent=none packet-marks=vnc-pack direction=both priority=8 queue=ethernet-default/ethernet-default limit-at=0/0 max-limit=0/0 total-queue=default
Faça assim com as outras portas, só mudando,  os nomes das conexões, porém todas dirigidas par o mesmo packet-marks.
Obs: regra no queues acima de todas

---------------------------------------------------------------------------------------------------------------------------

Bloquear MSN no MIkrotik

Se estiver usando proxy no seu mk é só seguir o exemplo:
/ ip web-proxy access
add src-address=IP_CLIENTE url="hotmail.com" action=deny comment="" disabled=no
add src-address=IP_CLIENTE url="orkut.com" action=deny comment="" disabled=no

Esse exemplo só se aplica se vc estiver usando web_proxy no seu mk