WAN/DMZ/LAN hogyan?

Előtörténet:
A mostanában felvetődött XMPP szerveres kérdéshez kapcsolódva kitaláltam, hogy akkor én most működtetni fogok egy RocketChat instance-t, privát/családi üzenetküldési megoldásként. ( Persze, tudom, hogy van akinek megkérdőjelezhető az értelme, de most ettől tekintsünk el. )

Az első tesztek elég pozitívak voltak így gondoltam, oké mehet élesbe a dolog.
Viszont ekkor futottam bele a kérdésbe, hogy oké, de hová?!

Jelenleg ESXI 6.7 felett fut egy OPNsense aminek most két lába van. WAN/LAN. A LAN-ra egy Unifi US-8-60W van kötve, amibe a többi gép meg egy AP van csatlakoztatva.
( Jelenleg összesen 4+2 NIC áll rendelkezésre. Amiből 2-t már az opnsense használ.)

Az hamar kiderült, hogy LAN-ba nem tehetem ezt a virtuális gépet, mert akárcsak egy web/mail..stb server, ez a gép is elérhető lesz az Internet felől és mint támadási felület nem biztonságos a LAN-ban hagyni. Szóval kell egy DMZ terület...
(DDNS-t már beállítottam korábban így az elérhetőséggel nem lesz gond változó IP miatt.)

Elveszve a rengetegben:
Némi olvasgatás után belegabalyodtam a témába mint majom a házicérnába...

I. 1 tűzfalas vs 2 tűzfalas megoldás. Otthoni környezetben valószínűleg elég lenne OPNsense alatt egy újabb interfészt(subnetet) felvenni DMZ névvel. De sok helyen írták, hogy a 2 tűzfal jobb a zsilip jellege miatt. Ha az első tűzfal kompromittálódik akkor még mindig van egy második mielőtt a LAN-hoz érne a támadás... Viszont itt van pár kérdőjel. Ha 2 ugyanolyna tűzfalat használok, akkor adott sérülékenység miatt a második is sebezhető lehet?
Konkrét példánál maradva, lenne két OPNsense alapú rendszer. Egyiket nevezzük EXT-nek a másikat INT-nek. Az EXT lenne a bejárat, WAN és DMZ lábakkal és a DMZ egyik eleme lenne az INT rendszer ami nek a WAN-ja lenne a DMZ-felé és a LAN lenne a másik ága.
Szóval ez így okés, vagy érdemes lenne 2 eltérő tűzfalat használni?

II. Switch-es csatlakozások. Vegyesen voltak a vélemények a DMZ és a LAN szeparálásáról ami a fizikai közeget illeti. Mivel fontos lenne, hogy a jelenlegi eszközökkel oldjam meg a dolgot, így felmerült, hogy egy switch lenne, de két VLAN, és így lenne elkülönítve a két hálózat. De voltak ellen vélemények miszerint ez annyira nem biztonságos és inkább fizikailag is külön switchre kellene átvezetni a DMZ-t. Ezzel kapcsolatban mi a vélemény? Tényleg nem biztonságos VLAN-al megoldani?

III. FW szabályok.
A DMZ-be telepített gépeket azért időnként karban kell tartani..stb. Szóval jó lenne ha mondjuk SSH-n lenne hozzáférés LAN-ból. Ez mennyire sérti a DMZ filozófiáját?

A kérdéseim és problémáim nyilván próbáltam jól megfogalmazni, de nem ezzel foglalkozom napi szinten, csak érdekel a téma és szeretném megérteni. Ezért kérem, hogy ne hülyézzetek le azonnal, ha valami triviálisnak tűnő kérdést tettem fel.