Dann probiere ich mal, ein paar Dinge zu beantworten (auch wenn die Skizze noch aussteht):
Beim UCG meinst Du hoffentlich "WAN" statt LAN? Ansonsten ergibt diese Verkabelung bzw. das gesamte Setup nicht so recht Sinn. Die Fritzbox sollte ausschließlich die Verbindung zum ISP aufbauen, dahinter kommt dann das UCG, was aus Sicht der Netzwerks Router und Gateway ist. Von der Fritzbox dürfen all Clients und Netzwerkgeräte gar nichts wissen.
Solltes Du zumindest zunächst mal sein lassen, ist auch ziemlich unnötig. Wenn irgendwann mal alles einwandfrei umgestellt ist und läuft, kann man das angehen, sollte es einem wirklich wichtig sein. Doppeltes NAT ist kein Problem.
Die Lease Times sind mehr oder weniger unerheblich, solange man keinen öffentlichen Hotspot betreibt oder Geräte mit ständig rotierenden MAC-Adressen nutzt. Lass die LeaseTimes einfach auf 86400 Sekunden bzw. 1 Tag.
Gib der Fritzbox z.B. die Adresse 192.168.185.1 und lasse sie aus diesem Bereich per DHCP Adressen verteilen. Das UCG ist dann das einzige Gerät, dass aus diesem Bereich eine Adresse erhält (an seiner WAN-Schnittstelle!).
Das Standard-Netz im UCG (LAN!) setzt Du beispielsweise auf 192.168.50.0/24, die Adresse des UCGs wäre dann 192.168.50.1. Weitere Netze (VLANs) könnten dann 192.168.60.0/24 usw. werden, aber das ist am Anfang noch nicht so wichtig. Sämtliche Geräte in Deinem Netzwerk erhalten per DHCP Adressen ausschließlich vom UCG.
Grundsätzlich: Versorge so viel wie möglich über DHCP, keine statische Adress-Konfiguration. Wo es feste Adressen braucht, löst Du das über DHCP-Reservierungen in Unifi.
Ist zwar technisch inkorrekt ausgedrückt (nur Geräte bzw. Schnittstellen bekommen IP-Adressen, Netzwerke haben Netzmasken), aber ja, prinzipiell richtig eingestellt. Falsch geht hier auch gar nicht, weil Unifi die Erstellung von VLANs nicht zulässt, wenn man inkonsistente Werte einträgt.
Hier braucht eigentlich gar nichts eingestellt zu werden, schon gar nicht in der Fritzbox. Wenn der DHCP-Server der Fritzbox aktiv ist, verbindest Du LAN1 mit dem WAN-Port des UCG. Im UCG stellst Du die Internetverbindung auf "DHCP" - fertig.
Jede Adresse innerhalb eines Netzwerkbereichs ist genauso gut wie alle anderen, es gibt da keine Hirachie. Man könnte es zwar als allgemeine Best Practise bezeichnen, dass Router stets die .1-Adresse in einem /24-Netz bekommen, aber rein technisch betrachtet kann auch der Router jede andere Adresse von .2 - .254 bekommen und es wird genauso gut funktionieren.
Pings innerhalb eines nicht ausgelasteten Kabelnetzwerks haben >1ms zu sein, ansonsten ist irgendetwas nicht in Ordnung. 8-15ms klingen so, als wäre da irgendwo eine Stecke WLAN oder sogar Internet zwischen.
Diese Aussagen sind ziemlich Quatsch. DNS-Server haben nichts mit Latenzproblemen und schon gar nichts mit Paketverlusten zu tun. Ein schlechter/langsamer DNS-Server führt höchstens beim allerersten Aufruf einer Domain dazu, dass die Ladezeit erhöht wird, danach ist die entsprechende Antwort des DNS-Servers in aller Regel im Cache des Endgeräts. Natürlich will man im Heimnetz verlässliche und schnelle DNS-Server nutzen, ansonsten gibt es durchaus nervige Effekte. Trotz allem Masquerading sollte es aber dennoch nicht so sein, dass Streaming-Anbieter während eines laufenden Streams ständig die Domainnamen ihrer Content-Server ändern, wo dann wieder DNS ins Spiel käme.
Darüber hinaus: Willst Du wirklich Deinen gesamte Anfragen im Internet Cloudflare und insbesondere Google zu lesen geben? Wenn man nicht die DNS-Servers des eigenen Providers will, dann kann man sich ja immerhin das Upgrade auf datenschutzfreundlichere Alternativen gönnen.
Hintergrund ist, ich komme mit der Zonen Firewall nicht zurecht. Danke dir für die Empfehlung. Nur, bin noch Old School was das angeht. Mit der klasischen Firewall komme ich noch zurecht. 
Bin jetzt erstmal froh das die ganz großen Probleme wegblieben, möchte da nicht mehr die Fw ändern. Ist halt doof von Unifi gemacht, man kann die Zonen FW nur aktivieren aber nicht wieder zurück. Da hat nur ein Reset geholfen.
