В идеале - рабочая машина, и небольшой домашний сервер с гипервизором.
Самый основной принцип который недооценивают - это не работать с полными правами.
На критичных машинах настраиваем ограниченную учетную запись, устанавливаем необходимый софт, настраиваем политику ограниченного использования программ, ничего лишнего - закрыты все порты кроме явно разрешенных, машина за NAT'ом. Если не требуется круглосуточная работа с этими данными - глушим виртуалку при ненадобности. Доступ по RDP/VNC с рабочей машины с ограниченными правами. Это надежно, это непробиваемо. Если при работе с критичными данными интернет не нужен, вообще доступ в интернет запрещаем.
на входе от провайдера два последовательных роутера разных моделей
Зачем? Хватит одного, того же микротика, главное чтобы управлялся он вами, а не провайдером.
Но если у человека фобия - тут уже все сложно. Логичные аргументы тут не помогут. А излишние навороты это лишние проблемы.
На основной машине - среднюю безопасность, там шаримся в интернете, делаем что хотим, но критичных данных не держим.