Réseau local double : direct et VPN, comment faire ?

Bonjour,

La question peut sembler simple, j'ai un abonnement NordVPN (je suis prêt à changer si besoin) que j'utilise actuellement avec l'application Mac/PC/Android, j'ai vu qu'il est possible de mettre son compte sur un routeur, NordVPN conseille un Asus, mais à voir il y a plusieurs possibilités, seulement voilà, j'aimerai pouvoir avoir le choix VPN ou non sans devoir passer par la configuration du routeur à chaque fois.

Premier point, je suis en Suisse, au niveau FAI, cela est similaire que partout ailleurs, l'idée est que je demande au FAI de passer son routeur en mode bridge et ce sera le nouveau routeur qui reprendra les commandes.

Par contre, il faut noter que le routeur est au sous-sol et que j'habite une maison à 2 étages et que actuellement, il y a un AP à chaque étage, en gros, je n'ai pas besoin d'un routeur avec un WiFi ultra-performant, ni même un WiFi d'ailleurs, mais je n'aimerai pas d'un routeur qui fait goulot d'étranglement en sachant que mon entrée est en fibre 1 Gbits (j'ai bien conscience que le VPN plombe tout cela), ce qui est important à relever est que je n'ai qu'un seul câble qui monte du sous-sol au rez et un seul qui monte du sous-sol à l'étage.

Sur le routeur, j'imagine que je peux dire que mon réseau VPN est sur le port No 1 et le normal sur le 2 par exemple, mais cela fait 2 câbles et donc aussi 2 AP à chaque étage...
Est-ce qu'il existe un routeur (même si je dois prendre de nouveaux AP) qui me permette de passer les deux réseaux (VPN et normal) par le même câble et que les AP puissent émettre deux WiFi distinct pour chaque réseau ? naturellement les plages IP seraient totalement différentes entre les deux réseaux, mais il faut aussi tenir compte que j'ai deux imprimantes en câble réseau qui devraient être accessibles par l'un ou l'autre des réseaux.
Un peu décousu tout cela, j'espère que c'est clair et que quelqu'un puisse m'aider ou me donner des pistes et si oui, quel choix de marque/matériel

Merci par avance !