Erstes Update: Lösungsansatz und weitere Probleme gefunden 
Zunächst: Auf die UDM Pro bin ich gekommen, da ich nicht ganz Unifi-fremd bin. Bislang beschränken sich meine Erfahrungen allerdings auf die APs mit Software-Controllern (als VM). Funktioniert toll und bis auf einen warum auch immer gegrillten AP gab es bislang nie Probleme (war jedoch per SSH fixbar). Ich bin also eigentlich schon ein bisschen Fan.
Am derzeitigen Standort möchte ich schon länger die Fritte durch einen anderen Router ersetzen und Wifi muss hier auch neu aufgebaut werden. Die UDM Pro erschien mir daher als perfekte Lösung, da die Performance (auf dem Papier sowie Reviews) im Bridging/Routing und VPN richtig gut ist. Sie hat zwei 10G-Ports, was sie für mich auch im LAN Router-tauglich macht (worum es hier geht). Und natürlich könnte ich sie gleich als Video-Recorder und Unifi-Controller nutzen.
Wir haben hier eine ganze Menge diverser Geräte im Netz und daher möchte die Broadcast-Domains keinesfalls über ein /24er Netz erweitern, sondern das eher reduzieren. Daher die Aufteilung auf mehrere Subnetze.
In den vergangenen Tagen habe ich mich gelegentlich an die UDM gesetzt und die Kiste unter der Haube näher betrachtet - Linux.
Warum Ubquiti das Subnetz-Routing auf 1 "natives" (UDM/UB-Sprache) Netz sowie weitere getaggte VLANs begrenzt, ist mir nicht schlüssig - es wird eine Philisophiefrage sein. Wenn ich das richtig verstehe, sind VLANs bei anderen / älteren UB Geräten, wie der USG, wohl auch fakultativ.
Die UDM legt pro Netzsegment Linux Bridges (brNNN) an. Außer br0 werden alle mit VLAN IDs getaggt. Man könnte also br0 als root-bridge bezeichnen (was aber nicht wirklich korrekt ist). Die Nummern der bridges entsprechen den VLAN-IDs.
Daher die Quick-And-Dirty-Lösung - nicht im Sinne des Unifi-Universums:
IP Alias(e) auf br0 setzen.
Für das Beispiel im Ursprungs-Post:
# ifconfig br0:2 192.168.2.1 up
# ifconfig br0:3 192.168.3.1 upFunktioniert. Inter-Subnet-Sicherheit (wie ebtables für VLAN) ist hier natürlich nicht gegeben - in meinem Fall auch nicht nötig oder gewünscht.
Falls die Netze vorher via GUI angelegt werden, funktioniert das nicht ohne weiteres. Die UDM versucht dann natürlich, über die jeweilige VLAN-Bridge zu routen. Auch das ist fixbar, in dem man die jeweilige Route löscht und nur die Route über br0 bestehen lässt.
Im Performance-Test folgende komplette Route:
ClientSubnetA <-> Switch1 <-> Switch2 <-> UDM[eth10 <-> br0 <-> eth10] <-> Switch2 <-> ClientSubnetB
iPerf liefert ~5Gbit. Besser als erwartet. 5GBit bidirektional über das SFP+ Interface der UDM sind schließlich bereits das theoretische Limit.
Problem 1: Die Konfiguration wird bei jedem Neustart oder Änderung der Netzwerkkonfiguration über die GUI überschrieben. Das ist aber sicher durch weiteres basteln lösbar - anscheinend gibt es Pakete für persistente Datenhaltung auf der UDM via Github. Ich habe da jedoch noch nicht weitergemacht,
DENN:
Problem 2: Unabhängig von der Konfiguration, Factory Reset, Neustart - whatever: Die UDM hängt sich auf / verliert Verbindungen. Heute bereits 6 mal. Die Vermutung SFP+ Port (LAN) kann ich bislang weder bestätigen noch sicher verneinen. Daher bin ich mir einfach noch nicht entgültig sicher, wie viel Bastelzeit ich investieren möchte. Der Router im Netz muss stabil laufen und darf nicht rumzicken.
Ich werde daher dieser Tage zunächst einmal beobachten, wie das Ausfallverhalten der UDM ist. Eigentlich wirklich schade. Natürlich bin ich auch für diesbezügliche Tips äußerst dankbar 
Viele Grüße,
Stefan
