Вам накидали кучу ответ, но ИМХО - это театр безопасности.
Нужно сначало написать сценарии угроз, а уже потом думать как от них защитится.

1) можно сделать или безопасно или удобно. Одновременно не получится.

2) защита периметра не панацея. VPN, nat, и т.д. Не помогают в случае направленной атаки и наличии бытовых ПК в локалке.

3) за 20 лет, что я слежу за темой был только 1 случай когда веб морда дом автоматизации торчашей в инет подверглась массовому взлому. Это был кстати node-red. Патч безопасности вышел на следующий день. Iobroker обновил адаптер через 3 дня, home assistant растянул недели на 2.
Тут вывод скорее, что нужно ставить весь софт отдельно, не полагаясь на швейцарский нож из коробки.


Что бы мы правильно понимали друг друга. За этот же период (20 лет) smb win 0 day под массовым шифровальщиком, synology dsm под массовый шифровальщик.

PS про защиту периметра при наличии ПК в локалке
https://habr.com/ru/companies/xakep/articles/125768/

Я бы рекомендовал тогда смотреть на приставку к тв Google TV Streamer, потому что у неё на борту thread и она умеет в matter. Получается можно все прокинуть в неё локально через matter wifi, и рулить дальше через Google home.
Но это конечно удобно совместить с покупкой смарт ТВ приставки.
А ещё в Google TV Streamer есть gui гугл хоум.
Но ассистент к сожалению гугл асситент, правда на русском нормально работает.
Ждём продуктов с Gemini для умного дома.

Гугл в облако все можно слать без хаба. Но настраивать замороченно. Раньше был нужен белый ip и валидный https (самоподписанный не катит).

Aqara?
IKEA?

Upd: какой полный список требований?

https://t.me/cyprusdiy/72199

У гугла так приставка может