Subnetting mit verschiedenen Netzmasken

Hallo Leute,

ich habe da mal eine Frage und hoffe Ihr könnt mir weiterhelfen.

Ich habe viele kleine Standorte (60 Stück), welche über VPN vernetzt werden sollen.
Organisatorisch sind diese Standorte auf Städte (22 Stück) aufgeteilt und werden auch pro Stadt verwaltet. Pro Stadt gibt es (im Moment) bis zu 15 Unterorte
Im Moment sind diese alle IP-technisch gleich strukturiert und unabhängig von einander:
192.168.2.x /24 (ist in jedem der 60 Standorte so)

Um diese zu vernetzen, müssen diese ja nun alle einen eigenen IP-Bereich bekommen.
Da wir demnächst stark expandieren, muss die Struktur auch zukunftssicher sein und genügend Platz bieten.
Ich habe mir dafür folgende Struktur überlegt:
10.x.y.z
x = Stadt (aktuell 22 - bis 254 möglich)
y = Ort (pro Stadt aktuell max 15 - bis 254 möglich)
z = Clientbereich (bis 254 möglich)
Beispiel:
10.6.40.1 wäre zum Beispiel in Hannover - Aegi - der Router
10.6.10.5 wäre in Hannover - Arena - der Drucker
10.18.10.101-10.18.10.199 wäre in Dresden - Frauenkirche der DHCP-Bereich

usw ...
Das funktioniert für die Außenstandorte auch super, weil hier meist, selbst mit ausreichend Reserve, nie mehr als 254 Geräte sein werden.
Der Knackpunkt ist meine Zentrale.
Diese ist in Frankfurt.
Die 99 ist für die Zentrale reserviert, da gibt es keine Unterorte.
(Frankfurt als Stadt mit Unterorten gibt es extra noch einmal - zb: 10.90.10.x, 10.90.20.x, etc)

Wenn ich alles in ein 24er Netz stecke, reichen meine IP-Adressen nicht. Ich muss also hier ein größeres Subnetz aufziehen.
Zb so:
10.99.0.1 - Frankfurt Zentrale - Serverbereich - Router
10.99.0.10 - Frankfurt Zentrale - Serverbereich - DC1
10.99.10.1-10.99.10.254 - Frankfurt Zentrale - Notebooks DHCP
10.99.20.1 - Frankfurt Zentrale - Abteilung Buchhaltung - Clients
usw ...

Nun habe ich in der Zentrale aber nur einen (naja im Cluster - also 2) Router/Firewall/VPN-Gateway.

Gibt es nun nicht Probleme mit dem Routing? Wird das nicht sehr kompliziert unter verschiedenen Subnetzmasken?
Ich muss die VPNs und Routings ja in den ganzen Standorten konfigurieren. Ich habe damit zwar schon Erfahrung, habe das aber immer nur mit gleichen Subnetz gemacht.
Seht ihr da Probleme?

Habt ihr andere Ideen fürs Design - das sollte aber bitte recht schnell erkennbar sein - quere Netzmasken (/29, /22 etc) finde ich da nicht so sehr glücklich gewählt, weil mans nicht direkt auf einen Blick erkennt.

Danke schon einmal.