Делать впн до граничного роутера и ходить извне на ha

Не совсем ясно, зачем скрытая сеть. Кто захочет - увидит ssid. Вам стоит отделить все iot от самих себя и от основной сети. Это делается vlan. Нет его, нет изоляции.

Точка доступа как правило позволяет под каждый ssid свой vlan делать и гнать транком выше. Зависит от оборудования конечно же

Это зависит от того, насколько вы параноик) в теории, это безопасно, но надо понимать, что вы кладете ключи от двери домой где-то в инете. Но это просто и не требует никаких знаний.
Настройка впн сервера у вас на граничном роутере потребует базового понимания всего процесса и некоторое время на чтение мануалов.