Netwerk Neustrukturierung mit OPNsense - MagentaTV uvm

Hallo Zusammen,

ich versuche mich seit einigen Tagen in das Thema VLAN einzuarbeiten da ich mein Netzwerk / Homelab neu aufbauen möchte, aber alles nicht so einfach ....

Aktuell sieht es so aus:
Glasfasermodem Telekom --> FritzBox 7590 --> 2x 24 Port Switches Zyxel GS1900 --> Hyper-V Server (mit virtualisierten Servern für Ngnix reverse Proxy, Nextcloud, 2xSmartHome-Server / Haussteuerung, Motioneye für IP-Cams, piHole und demnächst TVHeadend als SatIP-Server).

https://www.directupload.net/file/d/5987/ngi6v6u2_png.htm

Alles in einem 19" Rack im Keller verbaut, alles in 192.168.178.0/24.
D.h. die OPNsense liegt aktuell noch ungenutzt auf meinem Schreibtisch.
Die FritzBox steht demnach auch im Keller und macht aktuell ein WLAN-Mesh. Hierfür gibt es im EG einen FritzRepeater 3000 und im OG einen Repeater 1750E. FritzBox Gast-WLAN wird ebenfalls genutzt.

Demnächst soll es aber auch im Gartenhaus Internet geben, hierfür möchte ich einen Aussen-AP installieren, was mich mehr oder weniger zu einer Umstrukturierung zwingt. Da ich das Netz ausserhalb des Hauses absichern möchte und hierfür mit VLANs arbeiten möchte. Ausserdem haben wir trotz KNX Bus, relativ viele drahtlose SmartHome / IoT Geräte welche ich in diesem Zug auch gleich in ein seperates Netz packen möchte.
Da hier z.B. auch einige bekannte Chinahersteller wie Xiaomi oder Sonoff dabei sind.
Dass FritzBox Gastwlan möchte & kann ich dafür nicht nutzen, da z.B. der SmartHome Server auch Zugriff auf die Geräte im Garten benötigt.

Das Thema stellt mich allerdings vor ziemliche Herausforderungen in der Planung. Da der zentrale SmartHome Server auf so viele Geräte Zugriff benötigt, habe ich noch keine perfekte Lösung gefunden wie ich die VLANs aufteilen soll, ohne dass danach die Haussteuerung nicht mehr funktioniert oder ich aber dann letztendlich Firewallregeln Kreuz & Quer zwischen den VLANs erstellen muss.

Wir haben auch diverse Alexas im Haus, hier ist es ähnlich.... diese sinnvoll ein VLAN zu packen, so dass am Ende noch alles funktioniert finde ich aktuell noch etwas schwierig.

Per Nginx reverse Proxy ist z.B. Nextcloud per DynDNS erreichbar.

Hinzu kommt dass wir ab Dezember MagentaTV von der Telekom bekommen, ich habe bereits einige Threads gelesen dass es hier zu Problemen mit dem IGMP Proxy kommt und dieser Buggy beim Multicast ist.
Die Beiträge waren etwas älter und ich weiß nicht ob das Problem immer noch aktuell besteht. Aber aus diesem Grund habe ich 2 Varianten für meinen neuen Netzwerkaufbau erstellt, diese würde ich gerne mit euch diskutieren, bzw. hoffe ich dass der eine oder andere Netzwerk-Spezialist hier paar Anmerkungen oder Verbesserungsvorschläge hat.

Variante 1 (ursprünglich mein Favorit)....
Glasfasermodem --> OPNsense (als Router) --> Zyxel Switche --> unifi AP Points für KG, EG, OG und Garten. (Fritzbox nur noch für Telefon / Dect hinter OPNsense)

https://www.directupload.net/file/d/5987/dwy4ooat_png.htm

Variante 2 (wegen MagentaTV Problematik, Fritzbox vor OPNsense als exposed Host (double NAT Probleme?))....
Glasfasermodem --> Fritzbox --> direkt zu Switch - VLAN7 für Magenta (VLAN routing überhaupt möglich?)
Glasfasermodem --> Fritzbox --> OPNsense --> Zyxel Switche --> unifi AP Points für KG, EG, OG und Garten

https://www.directupload.net/file/d/5987/c4aq8z98_png.htm

Ich habe mein aktuelles Netzwerk und auch die beiden Varianten mal versucht zu zeichnen und als Links angehängt, ich denke / hoffe dann wird es etwas klarer .

Also im Prinzip habe ich aktuell 2 große Probleme in der Planungsphase....
- sinnvolle Aufgliederung der VLANs bei so vielen unterschiedlichen Geräten welche untereinander kommunizieren müssen
- grundsätzlicher Hardwareaufbau --> FritzBox vor oder hinter OPNsense

Meine OPNsense Hardware hat 8 netwerkanschlüsse, einen quadcore und 16gb RAM... also die vorhandene Hardware ist nicht das Problem.

Ich freue mich auf eure Antworten, Vorschläge und Kritik .

Danke und VG