El DNS es una pieza demasiado fácil de romper. Este es el plan de respaldo que usaría para que una caída del homelab no deje sin internet a toda la casa.
Bloquear anuncios por DNS está muy bien hasta que conviertes una VM en el único camino hacia internet. Esta es la arquitectura que usaría para tener Pi-hole o AdGuard sin crear una avería doméstica.
Separar la red de casa no va de hacer un diagrama bonito. Va de que una prueba rara no pueda romper el WiFi, las cámaras, el DNS o los servicios que usa la familia.