Nekem elég hasonló felállás van MikroTikkel és a fenti követelményeket mindet teljesíti, kivéve az UTM szűrést mert ott nem tudom hogy mire gondolsz :) én tanúsítvány alapú ipsec + WireGuard VPN-nel használom, automatán tudja frissíteni magát (először a központi eszköz, utána a 4 Access Point) és lehet rajta konténereket futtatni, nekem pihole megy konténerből. Ha kifejted az UTM részt akkor arról is nyilatkozok.