UXG-Lite in das VLAN Infra "schieben"?

Gar nicht. In deinem Netzwerk LAN sollte/muss müssen die UI Device in einem Netzwerk sein.

Doch das geht. Kann aber zur Stolperfalle werden. In jedem Fall kannst Du Stress bekommen wenn sich am Controller was verändert ... Wichtig ist in jedem Fall, dass die Unifi Devices mit dem Controller kommunizieren können (Stichwort Firewall) und dass Die VLANs auch alle an den entsprechenden Ports anliegen und nicht in irgendeinem Switch blockiert werden.

Erstmal zur Frage mit dem UXG ... denke mal darüber nach welche Funktion das UXG im Netzwerk hat und wo eigentlich die VLANs "erzeugt" werden ... dann wird dir auffallen, dass das UXG in jedem VLAN drin ist (und dort eine IP besitzt), das kein Third Party Netzwerk ist. Das VLAN gibt es zwar, aber da hat die UXG kein IP Interface und ist somit dort außen vor. Du stolperst quasi darüber, dass beim UXG als IP nur die IP aus dem ungetaggten Default Netz angezeigt wird.

Warum sollen die Unifi Geräte aus dem ungetaggten Netz raus in ein anderes VLAN? Gibt es dafür einen speziellen Grund?

Die Einstellung welche Du suchst, findest Du bei den Unifi Devices. AP oder Switch anklicken. Im rechten Fenster aufs Zahnrad (Settings) und dann runter scrollen zu den IP Settings. Network Override anhaken und das VLAN welches Du als Management VLAN benutzen willst auswählen. Achtung darunter sind die IP Settings. Die dürfen natürlich nicht statisch eingestellt sein, da sich ja mit dem VLAN die IP Range ändert.

Ich glaube hier gibt es so einige Verständnisprobleme was VLANs angeht. In welchem VLAN die Infrastruktur hängt, ist für die Sicherheit fast ohne Auswirkung. Hauptsache die sind nicht im gleichen VLAN wie die normalen Geräte. Genauso wie man korrekterweise halt auch normale Geräte auf VLANs aufteilt um es sicherer zu machen. Dann muss man allerdings auch dafür sorgen, dass zum einen die Firewall wirklich den Traffic zwischen den VLANs unterbindet, der unerwünscht ist und natürlich muss die VLAN Konfiguration der LAN Ports entsprechend gesetzt werden. An Accessports für Computer und ähnlichen, hat genau das VLAN in dem der Computer betrieben wird etwas in ungetaggter Form zu suchen. Alle anderen VLANs sollten da nicht getaggt verfügbar sein ... denn man kan mit geeigneten Tools die vorhandenen VLAN IDs "auslesen" und mit einer geeigneten LAN Karte und/oder Betriebssystem einfach das VLAN wechseln.

Das UXG ist der Router aller VLANs (ausser Third Party), hatte ich doch geschrieben. Den kannst Du defacto nicht verschieben, da er in allen VLANs drin und erreichbar ist. Du kannst höchstens die IP Bereiche der VLANs verändern (im Controller nicht im UXG, denn das zieht sich nur die Konfig und setzt das dann um). Das ist dann dem UXG völlig egal und wechselt seine IPs wie konfiguriert. Was nicht einfach so wechselt sind IPs von Geräten und in Konfigurationen von Software ... heisst also man sollte drüber nachdenken wenn man IP Bereiche verändert, was da dann alles nicht geht ... neugestartet, umkonfiguriert und angepasst werden muss.

Accesspoints und Switche hängen prinzipiell auch in mehreren VLANs, die haben allerdings eine Management Schnittstelle (über die sie kommunizieren und eine IP haben) die explizit aus einem VLAN ist. Per Default ist das dann das Default LAN welches ungetaggt ist und auf Wunsch eben irgendein VLAN das dann getaggt ist (Das was man oben erwähnt umstellen kann). Bei allen anderen VLANs werden nur die Pakete bearbeitet und entsprechend der VLAN Konfiguration transparent weitergereicht.

Also alle Unifis ins gleich VLAN, welches kannst Du dir aussuchen. Das UXG ist da ehh drin und oft ist es sinnvoll auch den Controller dort reinzupacken. Ist zum einen einfach. zum anderen muss man nicht kreuz und quer zwischen VLANs kommunizieren (Firewall zu diesem Netz dicht (bis auf nen Adminzugang) und gut)

Ich glaube Du versuchst hier mehrere Dinge gleichzeitig.

Im Screenshot sagt die GUI doch klar und deutlich, die IP Range überschneidet sich mit einer existierenden. Du kannst nicht 2 VLANs die gleiche IP Range geben, auch nicht überlappend. Dann kann Routing nicht mehr Funktionieren und im schlimmsten Fall ist mehr oder weniger alles tot.

das 192.168.200.0/24 IP Netz gehört zum Infra VLAN.

Das VLAN Internal-LAN (Das ist das Default LAN) hat den IP Bereich 192.168.178.0/24

Zum letzten Mal, das UXG hat bereits in allen nich Third Party VLANs eine IP, zu ersehen in den jeweiligen VLAN Settings. Angezeigt wird immer die IP des Default LANs!

Pack alles ins VLAN1 untagged so wie es war oder pack alles in VLAN 200 mittels Override. IPs sollten immer zu den IP Settings des VLANs passen in dem das Gerät ist ... statische IPs sind tabu bei deinem rumgespiele, bis alles da ist wo es sein soll.

Der Switch ist im Management LAN also entweder in VLAN1 ungetaggt oder getaggt in dem VLAN welches mittels Override eingestellt ist. Von da holt er sich die IP oder die fest eingestellte muss dazu passen. Alle anderen VLANs sind für Switch und AP nur soweit interessant, als das die Pakete verarbeitet werden. In diesen restlichen VLANs haben Switche (von L3 abgesehen aber das sind ja quasi auch Router) und Accesspoints keine IPs ...

Schmeiss den Switch rüber in VLAN 200 ... hast Du doch bei den Accesspoints auch hinbekommen und es ist exakt das gleiche Spiel. Anschliessend lasse das so und befasse dich erstmal mit der Theorie. In deinen Ausführungen sind Dinge drin die einfach nur völlig falsch sind und ganz offenbar durch fehlendes Wissen so getroffen werden. Beispiel: "D.h. das alle untagged Pakete aber auch auf VLAN1 geroutet werden würden"

Vergiss diese aus dem Zusammengehangenen gerissenen KI Märchen ... da fehlt die Hälfte ohne dass es dann unterm Strich Sinn ergibt.

Da fehlt in der Betrachtung einfach mal komplett, dass auf einem Switch der mit VLANs kann, die Ports eine VLAN Konfiguration haben, wie diese gesetzt ist und was der Switch mit den Paketen dann eigentlich macht. Bei der Verwendung von VLANs gibt es kein DAS native VLAN! Das Default LAN ist untaggt weil man sonst das System gar nicht zum laufen bekommen würde ohne ein Gerät mit VLAN fähiger NIC und richtiger Konfiguration des VLANs ...

Klick mal einen Unifi Switch an und geh mal auf den Portmanager ... dann einen Port anklicken. Da findest Du jetzt natives VLAN. Das was dort ausgewählt wird ist dann entscheidend zu welchem VLAN die ungetaggten Pakete gehören, die auf diesem Port in den Switch gehen. Rausschicken tut der Switch dann auf diesem Port zum Gerät nur ungetaggte Paket die ebenfalls zu diesem VLAN gehören.

Darunter kann man die auf dem Port zusätzlichen getaggten VLANs einstellen. Block ALL -> kein getaggtes VLAN (das macht man bei normalen Endgeräten) Allow All -> alle VLANs getaggte (ausser das Native VLAN, das ist ja ungetaggt auf dem Port. Diese Konfig setzt man bei Ports zwischen Infrastruktur, also Router - Switch, Switch - Switch, Switch - Accesspoint. Und dann kann man auch das ganze mit nur einigen getaggten VLANs konfigurieren, das macht man z.B. gerne mal bei Virtualisierungshosts die nur einige der VLANs brauchen. Grund z.B. Alle VLANs teilen sich ja das Kabel und dessen Bandbreite. Da macht es wenig Sinn den unnützen Traffic der anderen VLANs wie z.B. Broadcast zum Server zu schicken, damit der die Pakete verwirft.

Kommt ein getaggtes Paket (mit seinem Zettel mit VLAN ID drauf) am Switch an, schaut der Switch was drauf steht, dann schaut er welche Ports ebenfalls zu diesem VLAN gehören. Ist auf dem "Ausgangs Port" das VLAN getaggt drauf wird das Paket auch mit Zettel weiter geschickt. Ist das VLAN untaggt auf dem Port, wird der Zettel entfernt und so nativ verschickt.

Ist das ankommende Paket ohne Zettel, dann gehört es eben zum nativen VLAN dieses Ports. Es wird dann wie oben erwähnt ohne Zettel auf den Ports rausgeschickt, die eben auch das native VLAN haben wie der Port an dem es rein kam. Muss es auf einen Port raus, bei dem das VLAN getaggt auf dem Port ist, dann wird ein Zettel dran gehängt und so rausgeschickt. Ankommende Pakete die einen Zettel haben, der zu keinem getaggten VLAN auf dem eingehenden Port passt, werden verworfen.

Das ist wichtig zu wissen. Daraus ergibt sich bei getaggten VLANs müssen die Ports auf beiden Seiten des Kabels auch als getaggte VLANS konfiguriert sein, sonst geht das Paket nirgends hin. Verbindet man ungetaggte Ports (irgendein VLAN ist meistens ungetaggt auf einem Port, auch wenn es nicht immer zwingend erforderlich ist) geht der Traffic in jedem Fall durch ... aber ACHTUNG Hat man Ports verbunden die als natives LAN jeweils ein anderes VLAN haben, dann hat man die beiden VLANs verbunden und nichts ist mehr mit Trennung, also Fehler- und Sicherheitsrelevant!

Ich hoffe Du verstehst jetzt etwas besser was da eigentlich so passiert.