Migrationsprobleme mit USG auf neuem Windows Software-Controller

  • Hallo zusammen,

    ich habe am Wochenende endlich mein lang geplantes Projekt umgesetzt und meinen Unifi-Controller von einem UC-CK auf einen Windows-Software-Controller im 24/7-Betrieb umgezogen:

    P78162
    June 6, 2024 at 4:37 PM

    Dafür habe ich die alte Site exportiert, im neuen Controller importiert und die Migration gestartet. Soweit hat alles gut funktioniert – drei Switches und fünf APs wurden ohne größere Probleme übertragen. Allerdings bereitet das USG-PRO-4 Schwierigkeiten.

    Das USG wird im alten Controller abwechselnd als "Migrating" und "Disconnect" angezeigt, im neuen Controller erscheint manchmal die Fehlermeldung "This site already has a security gateway." Ich kann das USG per SSH erreichen und habe mehrmals versucht, den neuen Controller per set-inform zu setzen. Nachdem ich im neuen Controller auf "Forget" geklickt habe, wird das USG dort jedoch überhaupt nicht mehr angezeigt, während es im alten Controller weiterhin auftaucht.

    Wie sollte ich am besten weiter vorgehen? Ich habe Bedenken, das USG zurückzusetzen, da ich unsicher bin, ob alle Einstellungen (Interneteinwahl, Netzwerke, VLANs) korrekt übernommen werden. Hat jemand Erfahrung damit? Muss ich noch etwas beachten? Bei einem AP und einem Switch musste ich nach dem Wechsel bereits Resetten (10 Sekunden Reset-Pin) die alte Konfiguration wurde nach Adopt wieder problemlos geladen – funktioniert das auch beim USG? Bin noch relativ neu im Ubiquiti-Netzwerk.

    Danke für eure Hilfe!

  • 1. den alten Controller abschalten. Das ist das wichtigste, das der nirgends mehr zwischenfunken kann ... das Ding muss aus, weg vom Netz und jeglicher Erreichbarkeit.

    Dann im neuen unter Einstellungen - System - erweitert - "Host infrom überschreiben" . entweder deaktivieren oder schaune, dass das richtige drin steht, dann kann es auch funktionieren.

    Backup hast du doch, oder?

    Wenn du allerdings im neuen bereits forget gesagt hast ... schmeißt der dort eig alles weg. Wenn du die usg jetzt enbinden willst verspreche ich dir nicht, das alles noch vorhanden ist. Da kann ich dir leider nichts versprechen

    Normal:

    • Backup auf alten Controller erstellen, alten Controller abschalten
    • neuen Controller einschalten, Backup einspielen
    • Einstellungen prüfen ob die passen (Host Inform etc)
    • alle Geräte einbinden / neustarten & einbinden
    • fertsch
  • Die Settings für Internet, VLAN usw. werden für die Site gespeichert und nicht für das USG selbst. Da im neuen Controller nun sowieso die USG schon gelöscht ist, bekommst Du die USG dort auch nicht mehr rein ohne diese zu resetten... Du hast ja die Migration angeschoben und diese sieht vor, dass die Site mit allen Geräten auf dem neuen Controller existiert.

    Wenn der neue Controller sich im Default LAN befindet, also das ungetaggte LAN mit der ID 1 und alle Switchports von USG bis Controller korrekt konfiguriert sind, dann solte die USG nach einem Reset problemlos eingebunden werden. Falls Du mittels Gateway.json noch Settings verbogen haben solltest, musst Du die Datei dann natürlich auch noch händisch umziehen.

    Also Override inform host prüfen, alten Controller abklemmen, USG resetten und neu einbinden. Vorab könntest Du natürlich mit ssh mal auf dern APs und Switchen nachschauen was info beim Status so ausgibt als inform-url. Im Override könnte z.B. die IP des alten Controllers stehen!

  • Danke für eure Antworten! Am kommenden Wochenende werde ich das USG mal zurücksetzen und schauen, ob das hilft. Notfalls habe ich ja ein Backup, und falls nötig, kann ich die Gelegenheit nutzen, um mich noch tiefer in die Einstellungen einzuarbeiten. Ich bin noch relativ neu im Ubiquiti-Netzwerk, und die ursprüngliche Einrichtung stammt nicht von mir.

    Jetzt habe ich allerdings ein merkwürdiges Problem, das mir letzte Woche aufgefallen ist:

    Wir verwenden zwei US-8-60W-Switches:

    • Switch1 versorgt per PoE einen UAP-AC-LR sowie einen DECT-Repeater der Telefonanlage.
    • Switch2 versorgt ebenfalls einen DECT-Repeater und ein IP-Telefon. An beiden Switches sind außerdem jeweils zwei weitere Geräte ohne PoE angeschlossen.

    Vor etwa drei Monaten haben wir einen U6 Pro gekauft, um das WLAN an Switch2 zu erweitern. Dieser lief zunächst problemlos, bis wir kurz hintereinander mehrere Stromausfälle hatten, wodurch unser alter UC-CK-Controller beschädigt wurde. Seitdem gibt es Probleme mit dem U6 Pro.

    Am vergangenen Wochenende habe ich den U6 Pro mit dem neuen Controller überprüft und folgendes bemerkt:

    • Switch2 zeigt keine Auffälligkeiten (ca. 6W von 48W PoE-Budget).
    • Sobald ich den U6 Pro an Switch2 anschließe (egal, welcher PoE-Port, ohne besondere Port-Konfiguration), geht er kurz online (blauer Ring und sichtbar im Dashboard).
    • Nach ein paar Sekunden geht der U6 Pro jedoch offline und zieht dabei auch Switch2 mit herunter. Beide Geräte werden jetzt im Dashboard als offline angezeigt, WLAN ist zwar verfügbar, aber ohne Internet.
    • Alle Lichter am Switch bleiben normal, und die über PoE versorgten Geräte bleiben aktiv. Nur der U6 Pro scheint das Problem zu haben. Beide Geräte bleiben offline im Dashboard, bis ich den U6 Pro wieder vom Switch trenne – dann ist Switch2 nach ein paar Sekunden wieder normal online.

    Zusätzliche Tests:

    • An Switch1 treten diese Probleme nicht auf. Der U6 Pro kommt hier problemlos online und bleibt stabil.
    • Ich habe Switch1 und Switch2 testweise getauscht, aber die Verkabelung unverändert gelassen. Ergebnis: Switch1 läuft am ursprünglichen Platz von Switch2 ebenfalls stabil, auch wenn der U6 Pro angeschlossen ist. Die Auslastung liegt bei ca. 10-11W von 48W.

    Hat jemand eine Idee, woran das liegen könnte? Es funktioniert zwar aktuell, aber das Verhalten ist ungewöhnlich, und ich wüsste gerne, wo das Problem liegt.

  • Hallo zusammen,

    ich habe am Wochenende ein bisschen an meinem Netzwerk gearbeitet und stehe nun vor ein paar Fragen, bei denen ich eure Expertise brauche. Hier eine kurze Zusammenfassung meiner bisherigen Schritte:

    1. Reset und Wiedereinbindung des USG:
      Ich habe das USG resettet und versucht, es im Controller neu einzubinden. Das hat jedoch Probleme gemacht, da die Einbindung in einem VLAN erfolgen sollte, das nicht das Default LAN ist. Deshalb habe ich es vorerst über einen UC-CK (Cloud Key) migriert, der jetzt ausschließlich für das USG und einen Switch im Default LAN zuständig ist. Diese Lösung ist zwar nicht optimal, aber sie funktioniert zumindest vorerst.

      Planung für die Zukunft:

      Ich möchte einen Mini-PC mit Proxmox einsetzen, um darauf den Network Server laufen zu lassen. Würdet ihr hier die Windows-Version empfehlen oder eher die Linux-Variante? Mir geht es um Aspekte wie Stabilität, Konfigurierbarkeit, Zugriffsmöglichkeiten (z. B. per SSH) und langfristige Wartbarkeit.

    2. Aktuelle Netzwerktopologie:
      Im alten Netz hingen alle Ubiquiti-Geräte im Standardnetzwerk 192.168.1.0/24 mit DHCP vom USG. Zusätzlich gibt es ein zweites Netzwerk 10.44.128.0/25, das als VLAN 10 eingebunden ist. DHCP steht dort auf "None", da ein lokaler Windows-DHCP-Server verwendet wird.
      Der gesamte Verkehr wird über einen Cisco-Router per VPN-Tunnel im 192.168.1.0/24 mit dem Oberkonzern verbunden. Aktuell wird die Firewall des USG nicht genutzt, da nur wenige Mitarbeiter das WLAN verwenden und das Netzwerk des Oberkonzerns bereits durch eigene Maßnahmen geschützt ist.
    3. Zukünftige Planung:
      • Beibehaltung der aktuellen Netze:
        • 192.168.1.0/24 für Ubiquiti-Geräte, Telefonanlage, Kameras und WLAN für drahtlose Geräte.
        • 10.44.128.0/25 für das Oberkonzernnetz inkl. drahtloser Geräte.
      • Neues Netzwerk für Mitarbeiter:
        Ich plane, ein weiteres Netzwerk (z. B. 192.168.2.0/24) ausschließlich für WLAN-Geräte der Mitarbeiter zu erstellen. LAN-Verbindungen sollen nur in den ersten beiden Netzen bleiben.
      • Gast-WLAN:
        Außerdem überlege ich, ein separates Gastnetzwerk mit vollständiger Isolation zu erstellen. Optimal wäre ein Captive Portal mit Zeitvouchern für den Zugang.
    4. Fragen:
      • Wenn alle Ubiquiti-Geräte im Default LAN (192.168.1.0/24) bleiben, muss ich spezielle Einstellungen vornehmen, damit sie dauerhaft erreichbar sind?
        • Wofür ist z. B. die Einstellung "Management-VLAN" gedacht?
        • Können Geräte, die im 10.44.128.0/25-Netz liegen, korrekt eingebunden werden? Momentan haben ein Switch und ein AP Adressen in diesem Bereich, um Probleme zu vermeiden.
      • Was sind die Vor- und Nachteile, die beiden Hauptnetze (192.168.1.0/24 und 10.44.128.0/25) durch unterschiedliche VLAN-IDs oder separate Netzwerkgruppen (LAN, LAN2, LAN3) im USG zu unterscheiden? Aktuell laufen beide Netze unter "LAN(1)", wobei das 10.44.128.0-Netz den VLAN-Tag 10 hat.
    5. Langfristige Ziele:
      Ich habe einen IT-Hintergrund, bin aber im Bereich Netzwerke noch nicht so tief eingestiegen. Dieses Projekt für meinen Schwager soll mir helfen, praktische Erfahrung zu sammeln und mich beruflich weiterzuentwickeln. Ich freue mich auf eure Tipps, Hinweise und Empfehlungen, insbesondere zu Dingen, die ich eventuell übersehen habe.

    Ich werde morgen einen detaillierten Plan zur Netzwerktopologie erstellen und hier posten. Vielen Dank schon mal für eure Hilfe!

  • Zu 1. Die selfhosted Network Controller, laufen für Windows und Linux ähnlich stabil. Bei Windows musst Du aber etwas tricksen um das als Dienst einzurichten und bei jedem Update der Controllerversion dann rückgängig machen, updaten, wieder als Dienst einrichten.

    Die Linuxversion kannst Du je nach Distri mit dem Script von Glenn installieren und updaten. Das funktioniert nach meiner Erfahrung sehr gut.

    Für beide gilt: Abhängigkeitenprobleme von Java, MongoDB kann man schon mal bekommen. Der Zugriff erfolgt per Browser auf den Controller ... andere Zugänge wie ssh oder rdp ... benötigst Du für die Wartung des OS und das Updaten, nicht aber für die eigentlichen Controllerzugriffe.

    zu 2. Das mit den Unifis und dem Defaul Lan klingt gut. Wenigstens ein zusätzliches VLAN für die Endgeräte ist normal. Das mit der VPN und dem gleichen Subnet erschliesst sich mir nicht.

    zu 3. Ich würde die Unifis komplett und alleine in einem VLAN lassen. Telefonanlage, Kameras .... drahtlose Geräte ... Drüber nachdenken ob irgendwas davon mit irgendwas anderem kommunizieren muss. Klingt nach IOT, Kameras ggf. von extern erreichbar, Telefonanlage vielleicht irgendwie mit PCs (Stichwort CTI). Je nachdem wie sich das ergibt, sollten die evtl. auch in eigene VLANs. Ziel ist es ja die Kommunikationsmöglichkeiten zu unterbinden wo immer das möglich ist (weil eigentlich keine stattfindet).

    WLAN für Gäste geht mit Gast Portal, Geräte der Mitarbeiter ... das sollte definiert werden ... ich kenne leider sehr viele Kunden die unbedingt die Smartphones usw. ob Diesntlich oder Privat per WLAN im Firmennetz haben wollen ... in der Regel benötigen diese Geräte oft einfach nur Internet, gerne per WLAN aber in einem extra VLAN, isoliert vom Firmen LAN. Meine Frage was man mit diesen Geräten denn genau im Firmennetz machen möchte, wird meist mit "Die sollen ja auch Mails auf den Handys haben" beantwortet. Ich würde sogar meine Hand dafür ins Feuer legen, dass es Kunden gibt, bei deren Internetleitungen und dem Mobilfunknetz vor Ort, allen damit geholfen wäre die Phones im Mobilfunknetz zu belassen.

    3. ist also immer von Fall zu Fall unterschiedlich und für Externe eher schwer zu beurteilen.

    Zu deinen Fagen. Das Defaultnetz VLAN ID1, das immer da ist, ist prinzipiell als Management LAN für die Unifi Komponenten vorgesehen (von Haus aus). Im Unifi Controller haben alle LAN Ports dieses Netz als untagged (natives LAN) per Default und alle anderen VLANs sind getaggt mit auf den Ports. Aus diesem Grund kann man neue Geräte zusammenstecken und sie können mit dem Controller kommunizieren. Damit das so bleibt, sollten die LAN Ports für Verbindungen von Router-Switch, Switch-Switch, Switch-AP möglichst auch so beleiben.

    Es besteht mit der Einstellung Managemen-VLAN, für die Geräte ein anderes VLAN zu verwenden als das Default. Das ganze macht das Einbinden aber komplizierter.

    Netze trennt man in der Regel aus Sicherheitsgründen oder wenn sie zu groß sind und zuviel Broadcast entsteht. Dann muss der Traffic zwischen den Netzen geroutet werden (wo dann auch eine Firewall von alles offen bis alles dicht werkeln kann). Was dann ggf. auch schon wieder ein Nachteil sein kann.


    Alle deine Fragen deuten darauf hin, dass Du dich nochmal mit dem Thema VLAN befassen möchtest

    Content embedded from external sources will not be displayed without your consent.
  • Hallo zusammen,

    ich mache nun seit 3 Wochen auch noch einen Netzwerkgrundlagenkurs, um mein Wissen weiter auszubauen. Allerdings bin ich noch am Anfang, daher wird es eine Weile dauern, bis ich mich sicherer in der Materie fühle. Bis dahin wollte ich mich an euch wenden, um Unterstützung bei einigen Themen rund um unser Firmennetzwerk zu erhalten.

    Das aktuelle Setup läuft zwar irgendwie, aber es gibt wiederkehrende Probleme, und die Stabilität lässt zu wünschen übrig. Mein Ziel ist es, das Netzwerk von Grund auf neu einzurichten, um besser durchzusteigen und Fehler gezielt zu beheben. Bis zum 02.01.25 steht der Betrieb still, sodass ich in diesem Zeitraum Änderungen und Tests durchführen kann. Die zuständigen Stellen sind informiert, dass es zu Ausfällen kommen kann.

    Hier die aktuelle Situation:

    Netzwerk-Setup

    1. Gebäude A:
      • Modem: Vigor167 (IP: 192.168.1.1/24)
      • USG Pro 4: (IP: 192.168.1.254/24, übernimmt PPPoE-Verbindung)
        • Port 1 (LAN): Verbindung zum Vigor (WAN)
        • Port 4 (WAN2): Verbindung zum Switch (siehe unten)
      • Switch: USW-Lite-8-PoE (IP: 192.168.1.7/24)
        • Port 2: Verbindung per LWL/RJ45-Konverter zu Gebäude B
        • Port 7: Proxmox-Server mit Ubiquiti-Controller (IP: 192.168.1.250/24, Ubuntu 24.04 Server)
        • Port 8: Verbindung zum USG
    2. Gebäude B:
      • Switch: USW-24-PoE (IP: 192.168.1.3/24)
        • SFP-Port 26: Verbindung von Gebäude A
        • Diverse Server und Geräte angeschlossen
      • Cisco 891F Router: (IP: 192.168.1.252/24)
        • Baut Site-2-Site-VPN zum Mutterkonzern auf (Gateway: 10.44.128.1/25)

    Netzwerk-Konfiguration:

    • LAN (192.168.1.0/24):
      • DHCP ist deaktiviert, feste IP-Adressen für Netzwerkgeräte
    • Gastnetz (192.168.200.0/23):
      • DHCP aktiviert, für Geräte ohne Zugriff auf den Mutterkonzern
    • Firmengeräte:
      • Erhalten per DHCP des Mutterkonzerns Adressen aus dem Bereich 10.44.128.2/25, befinden sich aber im normalen LAN?.

    Das funktionierte zunächst soweit:

    • Firmengeräte konnten auf Dateifreigaben, Serverdienste und ins Internet zugreifen.
    • Nach einem Neustart aller Netzwerkgeräte funktioniert der Zugriff auf Dateifreigaben und Server weiterhin, aber die Geräte zeigen nun "kein Internetzugriff".

    Fragen:

    1. Muss das Netz des Mutterkonzerns (10.44.128.0/25) im USG irgendwie hinterlegt werden, damit der Internetzugriff funktioniert?
    2. Wo könnten noch Fallstricke liegen?

    Ich habe ein funktionierendes Backup des USG erstellt, würde das Netzwerk aber gerne von Grund auf neu aufsetzen, um es langfristig stabil und nachvollziehbar zu gestalten.

    Langfristige Änderungen (Plan):

    • Falls technisch möglich - USG in Gebäude B:
      • Vigor167-Modem per LWL/RJ45 direkt mit Gebäude B verbinden.
      • Alternativ: USG in Gebäude A lassen, aber LWL-Kupplung am USG per SFP-Modul, um Konverter zu eliminieren.
    • Site-2-Site-VPN direkt im USG aufbauen:
      • Ablösung des Cisco-Routers, falls vom Mutterkonzern möglich.
    • Switch-Upgrades:
      • Zwei ungemanagte 24-Port-Switches durch Ubiquiti-Hardware ersetzen.
    • USG-Pro-4 auf UDM-Pro:
      • Wechsel zur UDM-Pro (kein UDM-SE oder besser), da keine weiteren Ubiquiti-Kameras verwendet werden, sowie maximal 200 Clients.

    Ich freue mich über Tipps und Empfehlungen, um das Netzwerk zu stabilisieren und die Planung voranzutreiben. Vielen Dank im Voraus!

  • Hallo P78162 ,

    dies wird vermutlich ein etwas längerer Text...

    Content embedded from external sources will not be displayed without your consent.

    Zunächst mal das Housekeeping: Es wäre wohl sinnvoll, für Dein Vorhaben einen neuen Thread anzulegen, denn mit dem Ursprungsthema hat das ja mittlerweile nicht mehr viel zu tun. Vielleicht kümmert sich ein Mod darum.

    Was ich gut finde: Das Du einen Grundlagenkurs absolvierst, Dich fortbilden willst und das hier auch unverblümt mitteilst. Sehr gut.

    Deine Idee, das Firmennetz nicht nur zu flicken, sondern von Grund auf neu aufzubauen, ist in meinen Augen auch der absolut richtige Ansatz. Auf diese Weise kennst Du dann irgendwann "jede Schraube", lernst viel aus der Praxis und erarbeitest Dir Souveränität im Umgang mit Eurer Technik, was insbesondere im Fehlerfall enorm wichtig ist.

    Jetzt kommt ein größeres "ABER": Wenn ich etwas lese von

    - mindestens 80 Switchports

    - diverse Server

    - Filialstruktur mit Anbindung an den Mutterkonzern

    ...dann weiß ich, dass Ihr kein kleines 5-Mann-Büro seid. Ich halte ich es für ziemlich mutig, wenn nicht gar leichtfertig von Deiner Firma, Dir offenbar die alleinige Verantwortung für den ganzen Zoo zu übertragen. Damit will ich nicht sagen, dass Du der Aufgabe nicht gewachsen sein kannst, aber bist Du sicher, dass Du es jetzt schon bist?

    Was wären die konkreten Konsequenzen, wenn Euer Netzwerk 1, 2, 3 Tage ausfällt? Wenn es in der Zentrale zu einem Problem kommt, welches durch falsche Konfiguration auf Eurer Seite ausgelöst wurde? Wird man Dir auf die Schulter klopfen und sagen: "Kein Problem, Du stehst ja noch am Anfang!" ?

    In wieweit werdet Ihr durch den Mutterkonzern denn überhaupt gesteuert? Gibt es IT-Support von denen? Umzusetzende Richtlinien, zu verwendende Gerätschaften? Unterliegt Ihr vielleicht der Mutter gegenüber konkreten vertraglichen Verpflichtungen hinsichtlich Verfügbarkeit und Einsatzbereitschaft Eurer IT?

    Ich bin durchaus Freund einer "HandsOn"-Mentalität, man muss und darf nicht jedes Projekt mit Bedenken zerreden. Gewisse Dinge kann man auch tatsächlich einfach mal machen, selbst wenn man sich nicht sicher ist, ob es funktioniert. Es kommt aber auf den Maßstab an!

    Und: Wenn Du bei einem Baum, den Du fällst, nicht mit Bestimmtheit sagen kannst "Wenn sich rausstellt, dass diesen Baum noch jemand gebraucht hätte, stelle ich ihn eben wieder auf", solltest Du mit der Axt sehr, sehr vorsichtig sein.

    Ich möchte Dir hiermit definitiv nicht Deine Begeisterung für das Thema und Deinen Elan nehmen, aber Dir dringend ans Herz legen, jedes größere Projekt so sauber wie möglich vorzubereiten.

    Sprich ausführlich mit Vorgesetzten, lass Dir Dinge schriftlich dokumentieren, versuche, sämtliche Abhängigkeiten zu erfassen und dokumentiere diese ebenfalls.


    Um auch noch ein wenig auf Deine Fragen bzw. Beschreibung des Status Quo einzugehen:

    - Ein Netzwerk ohne DHCP wird nur von masochistischen, kontrollsüchtigen Admins mit veraltetem Netzwerkwissen konfiguriert, mach nicht denselben Fehler!

    Content embedded from external sources will not be displayed without your consent.

    - Ob Dein Unifi-Router in Gebäude A oder B steht, macht keinerlei Unterschied, wenn man nicht irgendwo einen Flaschenhals in den Switch-Kopplungen hat. Lass ihn einfach beim Modem bzw. bei der TAE.

    - Das USG-4 ist relativ veraltet und Du solltest es bald tauschen (schreibst Du ja auch selbst). Wenn Du eine der DreamMachines oder ein UCG einsetzt, benötigst Du den externen Controller nicht mehr.

    Muss das Netz des Mutterkonzerns (10.44.128.0/25) im USG irgendwie hinterlegt werden, damit der Internetzugriff funktioniert?

    Grundsätzlich nicht, aber Du bist Dir ja gar nicht wirklich über die Integration des Cisco-Routers in Euer Netzwerk im Klaren:

    Erhalten per DHCP des Mutterkonzerns Adressen aus dem Bereich 10.44.128.2/25, befinden sich aber im normalen LAN?.

    Es wäre durchaus denkbar, dass Eure Firmengeräte Ihre Netzwerkeinstellungen durch den VPN-Tunnel aus der Zentrale bekommen und dort ein enstprechender DHCP-Server betrieben wird. Dies würde aber bedeuten, dass diese Endgeräte mit keinem der Unifi-Netze verbunden sein können. Außerdem kommt mir die Netzmaske /25 seltsam vor, das ergibt nur dann Sinn, wenn Ihr die einzige Tochter seid oder jede Tochter bei der Mutter ein separates Netz zugewiesen bekommt.

    All dies sind für Dich sehr zentrale Frage, die Dir ja aber nur Dein Arbeitsgeber bzw. der Mutterkonzern beantworten kann. Vor jeder weiteren Änderung würde ich mir zu allem gesicherte Infos einholen, damit Du überhaupt eine Chance hast.

Participate now!

Don’t have an account yet? Register yourself now and be a part of our community!