我需要一些关于实现我需要设计的网络的网络核心层的建议。我已经发现一些类似的问题已经问过（和回答过），但没有一个真正给我一个明确的答案——尽管可能也没有明确的明确答案。
设计
Internet <--> Fortigate <--4x1G--> Core <--2x10G--> 接入交换机
- 当前的网络设计包括防火墙 (Fortigate 100D)、一对堆叠的“网络核心”L3 交换机 (Netgear M4300) 配置为冗余，然后是用于最终用户设备的交换机接入层（Spine 和 Leaf off the core） .
- 交换机通过 10G LAG 连接。
- 该网络使用 6-8 个 VLAN。
- 这些 VLAN 中只有 2-3 个需要相互之间/到互联网的 VLAN 间路由。
- 在高峰负载期间的任一时间，网络上通常有大约 200 台设备。
问题
我的问题是决定是使用“核心”交换机还是 Fortigate 防火墙作为网络中的默认网关/L3 交换机。据我的研究表明，为此目的使用“核心”（选项 A）具有线速路由的好处，同时失去了 L7/IPS/其他花哨的功能，需要使用 ACL 来代替；而使用 Fortigate（选项 B）基本上可以扭转这些优点/缺点。
所以我的问题如下：
- 如果实施选项 B，将需要路由（通过 4x1G LAG）的 VLAN 中继到 Fortigate；就性能损失而言，线速路由的损失真的有那么大吗？
- 据我了解，如果流量的目的地是同一 VLAN 内的设备（作为源）并且不需要跨越到不同的 VLAN 或子网，则数据包将不会通过默认网关/L3 交换机；这个对吗？
- 撇开功能/实用性不谈，就安全性和性能而言，哪个选项被认为是最佳实践？
- 有点不相关 - 如果我需要使用 Fortigate 作为 VPN 网关以允许远程连接到网络，那么在部署选项 A 时促进这一点的最佳实践是什么？我是否只是创建一个从 Fortigate 返回到核心的单独物理连接并将 VPN 流量分配给它？
感谢您抽出时间提供帮助，非常感谢。:)
亲切的问候
更新
VLAN内容如下：
- [路由] 企业 VLAN：工作站、打印机、服务器等（大多数设备都在这里）
- [路由] 无线 VLAN
- [路由] 生产 VLAN（媒体服务器、流媒体设备等）
- PBX VLAN（40-50 数字电话）
- 金融/法律 VLAN（NAS、金融工作站）
- DMZ VLAN（网络服务器）
- Studio VLAN（10G 链路上的高带宽 4K 视频编辑）
- [选项 A] VLAN 到防火墙/互联网
L3 路由的主要需求当然是访问互联网。但是，我确实希望在上面列出的前三个 VLAN 之间建立一些互连。
虽然我在 VLAN 间路由上不一定需要 L7/IPS 功能，但 Fortigate 允许使用基于用户的规则（Radius、LDAP、本地身份验证等）控制 L3 路由，这很有吸引力。例如，我可以使用 LDAP 组来允许特定用户访问另一个 VLAN 的部分，同时拒绝其他用户 - 假设您无线连接到无线 VLAN 并使用 Fortigate 进行身份验证，您的设备现在可以访问公司的部分虚拟局域网。
我正在寻找可靠答案的主要主要问题是线速路由相对于 CPU 绑定路由（问题 1）的实际好处，并确认我对非 L3 绑定流量的假设（问题 2）。