路由器和 NAS 同时拥有公网 v6 地址， VPN 应该安装在哪里比较合适？

前情提要

昨天晚上把手机从 EMUI 9 升到了 EMUI 10 （但是没有升级鸿蒙，怕 Google 套件挂了），同时把挂载 DDNS 的子域名从 nas 换成了 kazuha 以避免可能存在的 DNS 解析黑名单，折腾一番后终于可以在手机稳定解析 AAAA-Only 的域名，并从公网连接到 NAS

为了确保连接安全，在主路由防火墙屏蔽掉了 NAS 的 10000 以下的端口（保留 10000 以上，因为除了端口时常变动的 BT 之外无其他服务了），也就是说从公网 v6 ，就只剩下指定端口的 VPN 可以访问 NAS 。VPN 用 WireGuard 倒是没啥问题，公钥和 IP 段交换一下就打通隧道，很方便。

问题

正如上篇主题说的，宽带给了/60 的前缀，基本上对我来说就是可以随便分的了。此时就产生了一个分歧：在有且目前暂时仅有 NAS 这一个需要通过 VPN 从公网连接的设备的时候，以下哪种方案较好：

1. 安装 VPN 到 NAS 上，连上之后直接访问本机服务
2. 安装 VPN 到路由器上，再通过路由器的端口转发/静态路由什么的去访问其他内网服务

之所以有所顾虑，主要是担心安全性和性能（路由器是 J1900 的 CPU ，相对较弱），还有就是避免 all-in-boom 导致全家断网，但是又担心方案 1 的可扩展性的

求教各位 V 友，哪个比较好？

谢谢！