Wie sieht eine vernünftige VLAN-Konfiguration in meinem Fall aus?

Hallo zusammen!

Ich habe mich schon vor ein paar Jahren etwas in VLANs eingelesen, möchte sie aber jetzt zum ersten Mal praktisch umsetzen. Zum Einsatz kommen bei mir Unifi Produkte (Switches, Security Gateway, APs) und von der Einrichtung weiß ich halbwegs, was ich tun muss - vielen Dank an dieser Stelle an die Infos hier auf administrator.de und insbesondere ein riesiges Dankeschön an aqui, durch dessen Tutorials ich eine Menge über VLANs gelernt habe!
Mir fehlt aber noch das Wissen oder/ und die Erfahrung, um zu entscheiden, welche Geräte ich in welches VLAN packen sollte, deswegen wäre es super, wenn ihr da mal draufschauen könntet:

Devices:
Büro-PCs (Win 7 PCs) --> VLAN 1
Gast-WLAN (Captive Portal) --> VLAN 2
Privat (Laptops, Playstation, Receiver, ...) --> VLAN 3? oder sollte da noch stärker zwischen den Laptops und den 'Spielereien' differenziert werden?
Kameras --> VLAN 4

andere Hardware:
Synology Diskstation --> VLAN 5? (darauf sind Bürodaten inkl Emails, private Daten, Kameraaufnahmen, Backups (von Rechnern, die Diskstation selbst wird natürlich noch anders gesichert), es soll auch von unterwegs drauf zugegriffen werden (WebDAV, CalDAV, eventuell VPN, sonst Portfreigabe, ich schätze VPN wäre aber sinnvoller?) die hat aber auch mehrere LAN-Anschlüsse, kommt die überhaupt in ein eigenes VLAN oder ist die dann in VLAN 1, 3 und 4?
Drucker, Scanner, etc --> VLAN 6? (v.a. für Büro-PCs, aber auch privat interessant)
Asterix VoIP-Telefonanlage (Linux Mini PC) --> mit der Diskstation in VLAN 5 ("Server-VLAN)?
VoIP-Hardphones --> gibt es nur 3-5, der Rest sind Softphones auf den Büro-PCs, deswegen vielleicht kein eigenes VLAN erforderlich, sondern auch in VLAN 1? (ich weiß auch nicht, wie gut die VoIP-Anlage mit mehreren VLANs umgehen kann)
VPN --> irgendwo habe ich mal gelesen, dass es dafür ein eigenes VLAN gibt. Ist das sinnvoll? Der VPN ist v.a. zum Zugriff auf die DiskStation, eventuell aber auch interessant, um unterwegs in WLANs sicher unterwegs zu sein
WLAN-Geräte: da hätten wir iPads, privat genutzt, eventuell wäre ein Diskstation Zugriff ganz nett, Druckerzugriff wäre auch nicht schlecht, dann Smartphones, privat genutzt, Laptops privat genutzt (Backup auf Diskstation), "mich" (Laptop, teilweise bisher auch mal per LAN angeschlossen, wenn verlässlicher, WLAN ist aber natürlich angenehmer, geschäftlich genutzt, privat genutzt, Administration aller Geräte), geschäftliche Handys (brauchen aber höchstens CalDAV und WebDAV Zugriff auf Diskstation, eventuell noch eine Verbindung zu Büro-PC für Synchronisation anderer Daten) --> ein riesiges Fragezeichen, wie viele SSIDs sind neben dem Gast-WLAN sinnvoll?
Sonos --> die mögen VLANs nicht allzu gern, die Threads wie es eventuell doch gehen könnte, zum Beispiel in der Sonos Community, sind mir bekannt. Sollte der Aufwand zu groß werden, würde ich die ins gleiche WLAN wie die privaten Devices stecken und kann halt dann aus anderen nicht drauf zugreifen


In diesem Praxisbeispiel gibt es beispielsweise noch ein unsichtbares SSID für die Administration, ich weiß aber nicht so recht, ob das bei mir sinnvoll ist bzw wo der Vorteil ist: VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
(Edit: ich glaube ich hab's kapiert...die Netzwerkprodukte brauchen ja auch eine IP, also liegen die wohl in einem eigenen VLAN und nur der Admin hat Zugriff)


für einen Teil / alle SSIDs außer dem Gast-WLAN könnte ich mir eine Radius-Authentifizierung vorstellen, wenn sinnvoll (und ich wüsste gerade nicht, was dagegen spricht?) könnte man das wohl auch zumindest für VLAN 1 (Büro-PCs) machen.
(Edit: Auch das hat sich wohl erledigt - Unifi bietet bisher kein 802.1x für LAN-Ports)


Ist meine grobe Einteilung so schon sinnvoll und könnt ihr mir die offenen Fragen beantworten?

Und noch eine blöde Verständnisfrage: Wenn dann so viel zwischen den VLANs geroutet wird, wieso ist es dann so viel sicherer? Also zum Beispiel Daten werden zwischen VLAN 1 und 6 (Büro-PC und Drucker/Scanner) ausgetauscht - für mich als Laien ist jetzt nicht ganz klar, wieso ich die nicht gleich ins gleiche VLAN stecke.


Vielen Dank schonmal und euch einen schönen Abend!