Die heutzutage in Android vorhandene Möglichkeit, Apps die Internetberechtigung zu entziehen, macht in meinen Augen AFWall obsolet. Netguard kannst du noch zusätzlich benutzen, um den Zugriff auf einzelne Domains zu steuern.
Schon seit Jahren nicht mehr.
siehe auch diesen Beitrag db-stellt-alte-reiseauskunft-ein-oeffi-ist-tot
Nach meiner Einschätzung sind alle OK und nötig. Du kannst in Netguard alles protokollieren lassen und schauen, ob dir was dabei ins Auge fällt und dann sperren.
In der Grapheneos Grundeinstellung ohne Nutzung der Sandboxed Playservices bist du aber eigentlich ohne weitere Maßnahmen sicher.