Da du die LAN Ports der Internet Büx nicht taggen kannst, brauchst im Minimum einen VLAN tauglichen Switch im Verteilschrank.
So könntest du das LAN der Internet Box welches du als WAN für die Firewall brauchst untagged einspeisen und zusätzlich in einem weiteren VLAN dem Trunk Link in den Keller zuschalten.
Aber “sauberer” wäre das sicher als Glasfaserleitung oder als zweiten UKV Link dezidiert in den Keller zu führen.