Netzwerkplan: Virtuelle oder Physische Firewall in DMZ

Hallöchen,

da ähnliche Fragen schon eine Weile her sind und sich eventuell die "Best Practice" verändert haben könnte, frage ich in einem neuen Thread.
Ich möchte meine momentan genutzten Clouddienste sukzessive durch die private Bereitstellung ersetzen.

Ziel ist es, eine DMZ in einem privaten Heimnetzwerk zu installieren. Bisher hätte ich die DMZ durch ein V-Lan erstellt.
Und dann wie folgt (siehe Bild)

1. V-Lan fähiger- Layer 3 Router wie (Mikrotik RB5009/ hAP x^2) der das Heimnetz vom Server-Datenverkehr trennt.

• Fraglich ist, ob dieser schon Firewall Fähigkeiten mitbringt.

2. Auf dem Server wird eine Firewall virtualisiert um den Daten Verkehr mitschneiden zu können.

3. Traefik als Reverse Proxy, der dann den jeweiligen Container adressiert.

Wie beurteilt ihr den Plan?

• Gibt es Argumente für eine Hardware Firewall?
• Oder braucht es überhaupt eine Firewall, da die Fähigkeiten des eingesetzten Routers in Kombination mit dem und Reverse Proxy sich ergänzen?

Ich bin gespannt auf eure Meinung.
Beste Grüße.