MikroTik.by

Да, отключение помогает!

притом модификация (dst-address-list=!forbidden)

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related dst-address-list=!forbidden

не помагает.
я не совсем в курсе что этот fasttrack делает, такое вот поведение это баг или фича?

FastTrack исключает некоторые процессы из обработки пакета (типа queues и прочего).
Исключение ваше может не работать потому, что правило ловит и обратные пакеты (от сервера к клиенту, src-address-list=forbidden) и помечает их как FastTrack-соединения, и следующий пакет к серверу пойдёт уже по FastTrack

Спасибо, добавление src-address-list=!forbidden помогло!
нагрузка на cpu заметно упала, ну и тонель остался работоспособным