Marcado de tráfico del propio router en RouterOS 7

Siempre soy partidario de solucionar a nivel de enrutado lo que se pueda evitando la manipulación de paquetes.

Este es un claro caso: solo tienes que crear una ruta al servidor de actualización que utilice la interfaz oportuna. Rutas específicas tienen prevalencia sobre rutas más globales, a igualdad de métrica.

Una idea por probar y te ahorras liarte a marcar paquetes,

Haz una regla de Output en el firewall a la IP del cloud con Deny o Drop hacia la interface WAN1 la que tienes tras NAT

Ahi te la respetara al 100% ya que las reglas output son las conexiones salientes del mismo router.

Necesito que la actualización de la IP del DDNS siempre salga por la WAN 2

Estás resolviendo algo por capa de IP cuando se puede resolver por capa de aplicación. (lo he dicho de manera formal, pero básicamente te doy la bienvenida a mi mundo de chapucillas y apaños ). DyNDNS por ejemplo, permite actualizar la IP mediante curl. (procura usar una contraseña dedicada a la actualización, y no a la administración)

Pasos del script: (ojo, no tengo ni idea de scripts de RouterOs: lo he sacado de aqui y de aqui): que los compañeros lo corrijan, por favor.

El siguiente script lo puedes ejecutar cada 5 minutos p.e, Como no es la ruta por defecto (infiero por lo que dices), no usaremos un servicio de descubrimiento externo sino obtendremos la IP a mano .

ether1 es es el nombre de tu interfaz WAN2 … vas a tener que cambiarlo según el nombre de tu interfaz wan2. (este script es del 2009, no tengo ni idea si sigue funcionando… pero la idea es más o menos esa)

# Define User Variables
:global ddnsuser "DYNDNSUSER"
:global ddnspass "DYNDNSPASS"
:global ddnshost "DYNDNSHOST"
 
# Define Global Variables
:global ddnsip
:global ddnslastip
:if ([ :typeof $ddnslastip ] = nil ) do={ :global ddnslastip "0" }
 
:global ddnsinterface
:global ddnssystem ("mt-" . [/system package get system version] )
 
##ether1 is the WAN interface you want to get public IP
# Grab the current IP address on that interface.
:global ddnsip [ /ip address get [/ip address find interface="ether1" ] address ]
 
# Did we get an IP address to compare?
:if ([ :typeof $ddnsip ] = nil ) do={
   :log info ("DynDNS: No ip address present on " . $ddnsinterface . ", please check.")
} else={
  :if ($ddnsip != $ddnslastip) do={
	 :log info "DynDNS: Sending UPDATE!"
	 :local str "/nic/update?hostname=$ddnshost&myip=$ddnsip&wildcard=NOCHG&mx=NOCHG&backmx=NOCHG"
	 /tool fetch address=members.dyndns.org src-path=$str mode=http user=$ddnsuser password=$ddnspass dst-path=("/DynDNS.".$ddnshost)
	 :delay 1
	 :local str [/file find name="DynDNS.$ddnshost"];
	 /file remove $str
	 :global ddnslastip $ddnsip
  }
}

Y más sencillo, si no encuentras solución. ¿Por qué no haces que la WAN1 sea la que tiene la IP pública (es la que el router usa por defecto) y la WAN2 la privada?