>>086
NAT(NAPT)ルーターがFWの役目をするので、基本的には大丈夫。
二段構成にしたところで、セキュリティが落ちたりはしない。

VPNのポート解放をする場合には、そのポートの先のサービスで
「認証が破られ難いこと」「セキュリティホールが無いこと」
の二点を意識する必要がある。

そういう観点から、>092に一票。
なお、デフォルトのAES-256-CBCが重いようなら
もう少し軽い暗号方式に変更するというのも一つの手ではある