Firmennetzwerk aufsplitten auf zwei Standorte

Wir sind gerade dabei die Firma auf zwei Standorte aufzusplitten.
Ich wollte hierfür mittels 2 pfSense Firewalls arbeiten. So etwas in der Richtung:
¹

Des weiteren soll sich mindestens ein Mitarbeiter auch von Extern in das Büro Deutschland per OpenVPN Client einwählen können um an der Wawi arbeiten zu können. Dafür habe ich jetzt zur Authentifizierung an einen Safenet eToken gedacht:
²

Da beide Standorte nur über ADSL verfügen werden, ist sicherlich von Spanien aus mit Performanceproblemen zu rechen. Um da nicht komplett auf die Nase zu fallen, wollte ich verhindern das der Netzwerkverkehr ins Internet über den Tunnel läuft. Soweit ich richtig verstanden habe, kann man pfSense so konfigurieren. Am Standort Spanien wird noch ein Heimnetzwerk an der gleichen Leitung hängen, was aber außen vor bleibt, da nicht hinter der Firewall. Das überzeugen des Chefs für eine SDSL Leitung wird wesentlich einfacher, wenn er in Spanien sitzt und über die Performance schimpft. Dass der Punkt mit nur ADSL Schwierigkeiten machen wird, ist mir bewusst.

Hier das Schaubild:
Der (Windows)Server ist im Prinzip die eierlegende Wollmilchsau für Wawi, Etikettendruck, Fileserver, Intranetserver. Email läuft (noch) über pop, imap und smtp direkt beim Provider, sollte also unkompliziert sein. Fax wird demnächst auf einem ausrangierten PC als Hylafax auf Linux implementiert werden. Das geht aber übergangsweise noch mit normalem Faxgerät, interessiert also nur zweitrangig.
Die Clients sind alle auf Windows 7 Professional, außer der Heimcomputer der Buchhaltung. Das ist soweit ich weiß irgendeine Windows Home Version.

Jetzt meine Fragen:
1) Habe ich irgendwas nicht bedacht?

2) Wir arbeiten mit der Wawi Lexware, ich vermute mal ein Bridged Network im Tunnel wäre die unkomplizierteste Lösung um sicherzustellen, dass die Wawi keinen Ärger macht? Geht das so?

3) Kann der DNS der pfSense über bridged Network sauber arbeiten, so dass die Clients in Spanien den Server in Deutschland sauber über den Hostnamen erreichen?

4) Telefonie soll umgestellt werden auf VoIP, dass Anrufe auf die deutsche Nummer in Spanien landen. Da macht es sicher Sinn das nicht über den Tunnel zu schicken. Gibt es da sonst noch was an Besonderheiten?

Ich habe IT technisch schon so einiges betreut, auch wesentlich kompliziertere Umgebungen, aber mit Firewalls hatte ich bisher nur am Rande zu tun. Deshalb wäre ich sehr dankbar wenn sich ein Profi das mal anschaut und Kritik übt.