Vielen Dank euch beiden für die bisherigen Antworten, das war schon sehr hilfreich.
Ok, sehr guter Vorschlag, werde ich so machen.
Was genau muss ich am ISP Router dann machen? Und was genau bedeutet, dass das VPN am Opnsense terminiert (Die Bedeutung der Worte ist mir klar, nur was das genau technisch bedeutet, nicht 
)
Genau, soweit so klar. Eigentlich wollte ich das NAS mit dem Router und den Switch in den Netzwerkschrank stellen. Wenn ich aber jetzt das NAS direkt an den Router hänge, dann müsste ja jeder darauf Zugriff haben, weil der Router die VLANS ja nicht kennt, das tut ja nur Opnsense, oder verstehe ich hier noch etwas nicht richtig?
Eine Alternative wäre bspw. das NAS direkt in das OG von Familie B zu stellen und an eine LAN-Dose anzuschließen, dann wäre es sicher im VLAN von Familie B.