Com base em tudo que você forneceu, recomendo vivamente
Modem -> Router -> Switch
Você modifica o modem a cabo (se não for um dos novos modem / roteadores que alguns ISPs usam), então somente o firewall é o Wifi Router, então você quer que seus hosts estejam por trás dele. Caso contrário, eles são diretamente acessíveis pela rede do provedor (e provavelmente pelo mundo todo).
Além disso, seu ISP pode não permitir que você coloque o comutador em primeiro lugar, pois os hosts no comutador extrairiam o endereço IP do provedor, e não do roteador, portanto, o plano precisaria permitir IPs de ISP suficientes para o seu anfitriões. A maioria dos ISPs concede apenas um dos seus IPs a um cliente.
Finalmente, se você colocar o switch primeiro e os hosts conectados a ele, eles serão isolados dos hosts no Wifi ou conectados ao switch LAN do roteador, e os dois realms não poderão se comunicar sem as modificações do firewall que podem ser difícil ou impossível restringir apenas a seus anfitriões. Observe que os IPs do ISP podem mudar abruptamente, sem o seu conhecimento ou consentimento.