Помогите подобрать роутер под задачу

[SadLamer]

Здравствуйте! У меня вопрос к знающим людям, какие роутеры могут подойти для такой задачи. У меня есть общие представления на уровне софта и протоколов как оно должно работать. Но вот практического опыта какое железо для этого подойдет нет совершенно.

Есть 2 сети, условно: ДОМ/LAN, РАБОТА/LAN.
Внутри сети РАБОТА/LAN есть Linux дедик РАБОТА/SRV. Он не маршрутизатор, у него свои дела. Прямого доступа к WAN-интерфейсу у него нет, WAN на роутере.
Из каждой сети есть WAN линки к 2 провайдерам: Пров.1, Пров.2.
У обоих провайдеров подключение к интернет реализовано по PPPoE, плюс вторичное подключение по IP к интрасети провайдера (IP WAN адресов ДОМ/WAN и РАБОТА/WAN находятся в одной IP подсети у каждого прова, без маршрутизации).

Что требуется. Минимально - подключение через одного провайдера:

1) Чтобы из каждой сети работал интернет.
2) Связь ДОМ.WAN <> РАБОТА.WAN по IP протоколу.
3) В идеале роутеры должны поддерживать ipsec в транспортном режиме, чтобы не светить трафиком в интрасети без танцев с туннелированием.
4) В противном случае поверх 2) - VPN подключение ДОМ.WAN => РАБОТА.WAN. Поддержка VPN сервера на роутере не обязательна, есть возможность поднять его на РАБОТА/SRV и сделать проброс порта с роутера. И через него уже пускать в РАБОТА/LAN, это не критично. Но вот на маршрутизаторе в сети ДОМ должен быть соответствующий VPN-клиент, чтобы цепляться. Ну и возможность расширенной настройки WAN-интерфейсов и маршрутизации. Чтобы и интернеты, и интрасеть, и VPN-туннель нормально работали одновременно. Домашние роутеры с поддержкой мульти-WAN обычно предполагают, что WAN будут на разных физических портах. А тут всё на одном, т.е. мульти-VWAN какой-то.

Задача-медиум:

Всё то же самое, что в предыдущем пункте, но с мульти-WAN на сеть второго прова в качестве резервной. (Сдох инет у Прова.1, обе сети берут инет у Прова.2. Легла сеть у Прова.1 - инет и VPN-туннель переключается на Прова.2).

Задача-хардкор (не обязательна, губозакаточная машинка имеется):

Добавляем к этой красоте еще внешний VPS в интернете тоже с VPN. Подключаемся к нему через обоих провов с обеих сетей и делаем мульти-WAN этих подключений с балансировкой нагрузки через внешний хост для быстрого и надежного интернета. А маршрутизацию между сетями ДОМ-РАБОТА оставляем через интрасеть любого из провайдеров (желательно с резервированием через второго прова).

Дополнительные фичи:

1) Очень хотелось бы, чтобы роутеры были с WLAN. Можно, конечно, использовать точки доступа, но их потребуется 2, потому что:
2) Нужна гостевая WiFi сеть с изоляцией от основной LAN-WLAN. Чтобы гости не лезли в РАБОТА/LAN, у них должен быть только интернет. Если основной роутер без wifi, то на нем тогда нужна поддержка VLAN, чтобы на разные порты цеплять точки доступа для гостей и для пользователей РАБОТА/WLAN и отделять их друг от друга.
3) Функционал ограничения пропускной способности гостевой WLAN. Чтобы гости не забивали канал чересчур.

Условия:

1) Самое главное: маршрутизатор нельзя сделать на базе сервака. Это должна быть именно отдельная "коробочка". С панелью управления на базе Web или приложения. Не буду вдаваться в тему "а почему?", это долго. Так надо.
2) Идеально, чтобы для каждой сети это была бы ОДНА коробочка, которая со всеми этими задачами справляется. Устраивать неистовый клубок из роутеров, точек доступа и коммутаторов не хотелось бы.
3) Очень хотелось бы, чтобы эта коробочка была ценой не в пол-небоскрёба. Понятно, что она не может стоить как обычный домашний TP-Link. Скажем, в пределах 10-12 т.р. куда ни шло. Но больше - уже дороговасто.

Посоветуйте коробочку, пожалуйста... я думаю в сторону чего-то типа микротика, но на практике никогда не имел дела с чем-то серьезнее домашнего DIR/TP-Link/Keenetic. А перебирать методом проб и ошибок бы не хотелось. Большое спасибо!

[gmx]

Много написано...
Но мало технической информации и в первую очередь,такие скорости вам нужны?
Какая нагрузка на vpn?

В принципе, изходя из бюджета - это только hap ax2 или ax3.
Часть, из того, что вы бы хотели - это стандартный функционал, что-то придется делать скриптами. Придется изучать и включаться в проблему намного серьезнее, чем просто потыкать в winbox или webgui.

В принципе, если немного поубавить хотелки, то и кинетик вам тоже подойдёт.

Кстати, а почему у всех такая любовь к ipsec?? Почему его так часто просят? Есть же wireguard или есть какие особенности именно в ipsec?