Выполняем в консоли:

/ip firewall nat add chain=dstnat action=dst-nat to-addresses=172.16.0.2 to-ports=80 protocol=tcp \\
src-address-list=negative dst-address=0.0.0.0/0 dst-port=80

src-address : кого перенаправлять.
to-addresses : куда перенаправлять.

Запрещаем трафик для клиентов с негативным депозитом

/ip firewall filter add action=drop chain=forward dst-address=!172.16.0.2 dst-port=443 \\
 src-address-list=negative protocol=tcp

Разрешаем DNS

/ip firewall nat add action=masquerade chain=dstnat dst-address=8.8.8.8 dst-port=443 protocol=tcp src-address-list=negative

Перенаправляем трафик на proxy

/ip firewall nat add action=redirect chain=dstnat dst-address=!172.16.0.2 dst-port=443 \\
 protocol=tcp src-address-list=negative to-ports=8123

Включаем proxy

/ip proxy set enabled=yes port=8123

Включаем редирект

/ip proxy access add action=deny redirect-to=https://172.16.0.2/