Drei Methoden stehen zur Auswahl : Doch mit welcher der drei Methoden umgehe ich das Double-NAT in meinem Heimnetzwerk (Privatanwender) zuverlässig?

Das Netzwerk:

[IB]

└───► [(1.0GbE) TV Box]

└───► [(2.5GbE) OPNsense] ◄─── Trunk ───► [Managed Switch] ◄─── VLAN## ───►[Device]

1. Methode: Bridge-Modus auf dem ISP-Router

Die IB wird zu einem reinen Medienkonverter (Modem) degradiert.

Funktionsweise: Die IB reicht die öffentliche WAN-IP direkt an die OPNsense durch. Das NAT auf der IB wird dabei automatisch deaktiviert.
Konfiguration:
1. Bridge-Modus aktivieren
2. WAN-Port der OPNsense an den 2.5GbE Port der IB.
3. Die OPNsense erhält direkt die öffentliche IP per DHCP? PPPoE?

2. Methode: Deaktivierung von Outbound-NAT auf der OPNsense

Das NAT auf der OPNsense deaktivieren und nur die IB übersetzen lassen. Die OPNsense arbeitet dann als reiner Router (Routed Setup).

Konfiguration auf der OPNsense:
1. Firewall ➔ NAT ➔ Outbound.
2. Ändern des Modus auf Disable Outbound NAT rule generation.
Konfiguration auf der IB:
1. Dem WAN-Interface der OPNsense die statische IP 192.168.1.2 zuweisen.
2. Auf der IB für jedes VLAN-Subnetze statische Routen erstellen. Die IP der OPNsense (192.168.1.2) als Gateway eintragen.
  Beispiel: Route für VLAN 10 (10.0.10.0/24) via Gateway 192.168.1.2.

3. Methode: DMZ / Exposed Host (NAT-Umgehung)

Ohne Bridge-Modus oder statische Routen. Aber die Auswirkungen des Double-NAT vollständig eliminieren.

Funktionsweise: Die IB leitet alle eingehenden Ports ungefiltert 1:1 an die OPNsense weiter (1:1 NAT).
Konfiguration auf der IB:
1. Dem WAN-Interface der OPNsense die statische IP 192.168.1.2 zuweisen.
2. Die IP 192.168.1.2 als Exposed Host oder DMZ-Ziel eintragen.
3. Das WLAN deaktivieren.
4. Die TV Box bleibt an der IB angeschlossen.
5. Die VLAN bekommen die IP Adressen 10.0.#0.0/24.

Sollten Sicherheitsbedenken gegen alle drei Methoden sprechen, was wäre dann die Lösung?