Zwei vLAN über eine Devolo Powerline

[blurrrr]

Ok... ich mal nochmal kurz... Sekunde...

 

[Stationary]

Das heißt, ich setze, nur mal als Beispiel LAN Port 1 Fritzbox-Heimnetz mit VLAN id 10, LAN Port 4 mit Fritzbox-Gastnetz mit VLAN id 20 und LAN Port 5 als Verbindung zum Devolo mit VLAN id 10 und VLAN id 20. Habe ich das so richtig verstanden?

 

[blurrrr]

So... könnte z.B. so aussehen:


Ist leider nicht immer so 100%ig was die Hersteller so treiben, aber in der Theorie gibt es noch die sogenannte "PVID" (einmalig pro Port, ebenso wie man einen Port nur einmalig "untagged" setzen kann (mehrfach wäre dann immer "tagged")). Damit kannst Du noch Pakete ohne Markierung in ein VLAN schubsen (ohne, dass der Port auf "untagged" gesetzt wird). Ist dann quasi sowas wie das "Default-VLAN". In diesem Beispiel wäre es z.B. der Switch-Port zum Devolo. Dort werden bereits markierte Pakete schon weitergeleitet (10+20), dafür müssten sie schon ein entsprechendes Tag "haben" (so wie der Mac z.B., der in diesem Fall sein Tag selbst setzt). Für Pakete ohne Markierung könnte man nun besagten Switch-Port (zum Devolo) mit der PVID "10" versehen, womit dann alles andere im normalen "LAN" landet.

 

[blurrrr]

Habe ich das so richtig verstanden?

Korrekt, Port 1 10/untagged, Port 4 20/untagged, Port 5 10+20/tagged

EDIT: Wenn Du woanders noch einen Switch hättest, könntest Du da das gleiche machen, hätte den Vorteil, dass man die Clients halt nicht anfassen muss, dann wäre es das gleiche... zum Devolo hin wieder "tagged" (mit allen VLANs die durch sollen) + untagged Ports für Geräte, die direkt am Switch angeschlossen sind und in ein entsprechendes VLAN sollen.

 

[the other]

Moinsen,
Hier als Kunstwerk mit zweifelhaftem Wert

 

[Stationary]

Wenn Du woanders noch einen Switch hättest, könntest Du da das gleiche machen,

Das war die Idee: hinter jeden Devolo einen Switch, der das wieder umkehrt. Damit die Clients bleiben können, wie sie sind.

Und für 22 Euro ist das recht günstig…

Edit: Habe fürs Erste mal zwei Stück bestellt.

 

[Stationary]

Wenn man von diesem Fall ausgeht:

Beispiel LAN Port 1 Fritzbox-Heimnetz mit VLAN id 10, LAN Port 4 mit Fritzbox-Gastnetz mit VLAN id 20 und LAN Port 5 als Verbindung zum Devolo mit VLAN id 10 und VLAN id 20.

Was macht so ein Switch eigentlich mit ungetaggten Paketen, die vom Devolo an LAN Port 5 einlaufen? Die Devolos fungieren bisher auch als WLAN Accesspoints. Tablets, Smartphones, Scanner oder auch die Laptops schicken ihren Traffic über Wifi an die Devolos, die schieben das dann durch das Stromnetz Richtung Fritzbox, Diskstation, Drucker etc.
Wenn da nun am Devolo ein Switch mit LAN Port 5 hängt, der bekommt vom Devolo als auch ungetaggte Pakete. Kann man dem Switch auch vorgeben, daß ungetaggte Pakete wie solche mit VLAN id 10 zu behandeln sind, also über den für das Heimnetz zuständen LAN Port 1 auszuleiten sind? Oder verwirft der Switch dann die Pakete, weil er nicht weiß, wohin er sie verteilen soll?

 

[Barungar]

Normal definiert man in einem Switch eine PVID (Port VLAN ID)... das ist die VLAN-ID, denen eingehende Pakete ohne Tag auf einem Port zugeordnet werden. Um also Deine Frage zu beantworten: "Alles was ohne VLAN-Tag auf einem Port reinkommt, wird dem default VLAN (PVID) des Ports zugeordnet."

Beispiel für eine Konfiguration auf Port 5 wäre z.B. PVID 10, VLAN 10 untagged, VLAN 20 tagged und VLAN 30 tagged.
Das bedeutet, dass der Port 5 die VLANs 10, 20 und 30 zulässt - Pakete anderer VLANs werden verworfen. Der Port selbst sendet VLAN 10 ohne Tag raus, VLAN 20 und 30 werden mit Tag rausgesendet. Pakete, die der Port ohne ein Tag empfängt ordnet er dem VLAN 10 zu.

 

[Stationary]

Ich muß ja jetzt noch mal dumm fragen, ich versuche mich da gerade mit Hilfe des Handbuches des bestellten Netgear Switches schlau zu machen und @Barungar ‘s Hinweise einfliessen zu lassen. Dann geht es Mittwoch mit dem Einrichten vielleicht etwas schneller, einzurichten ist da ja wohl ein “Advanced 802.1Q-based VLAN” auf den Netgear-Geräten.

Ausgangspunkt: die Fritzbox hängt mit LAN1 [Hauptnetz] an Port1 des Switches 1 und mit LAN4 [Gastnetz] an Port4 des Switches 1. An Port5 des Switches 1 ist der Devolo 1 für den Eingang ins Stromnetz angeschlossen.
Die Konfiguration wäre also (ist das so richtig?)
Port1: PVID 10, VLAN 10 tagged
Port4: PVID 20, VLAN 20 tagged
Port5: PVID 10, VLAN 10 untagged, VLAN 20 tagged

Am anderen “Ende“ des Stromnetzes (des dLANs) sitzt wieder ein Devolo (2), der dort an Port5 eines Switches 2 angeschlossen ist. Dieser ist wie oben (also identisch zum Switch 1) konfiguriert. An LAN4 des Switches 2 sitzt der MacMini.

Der MacMini sendet also jetzt Daten zum Port4 des Switches 2. Dort bekommen die Pakete das Tag VLAN 20 und werden über Port5 des Switches 2 and Devolo 2 weitergereicht, der sie durch das Stromnetz an Devolo 1 schiebt. Dieser wiederum übergibt diese mit VLAN 20 getaggten Daten an Port 4 des Switches 1, welcher wiederum mit LAN4 der Fritzbox verbunden ist, die Fritzbox empfängt diese Daten also im Gastnetz.

An Devolo 2 wird auch ein WLAN des Hauptnetzes angeboten. Ein Wifi-Gerät, z.B. ein Tablet sendet also Daten per Wifi direkt an Devolo 2. Diese Daten gehen ungetaggt durch das Stromnetz zu Devolo 1. Daten ohne Tag behandelt Port5 des Switches 1 wegen PVID 10 wie VLAN 10. Die Daten bekommen also einen Tag VLAN 10 und werden an Port1 des Switches 1 weitergereicht, gehen dann an der Fritzbox auf LAN1 ein.

Habe ich das soweit richtig verstanden?

Woher kennt der MacMini seine IP im Gast-Netzwerk VLAN20? Und was ist mit den Geräten im Hauptnetz VLAN 10? Die Fritzbox macht ja sonst den DHCP Server und verteilt die Adressen, reichen die Switches die dann weiter?

 

[Barungar]

Die Konfiguration wäre also (ist das so richtig?)
Port1: PVID 10, VLAN 10 tagged
Port4: PVID 20, VLAN 20 tagged
Port5: PVID 10, VLAN 10 untagged, VLAN 20 tagged

Nein, nicht ganz. Auf Port 1 und Port 4 sollen doch Endgeräte (FritzBox) sein, oder? Zu Endgeräten hin geht man in 98% der Fälle stets untagged.

Port 1: PVID 10, VLAN 10 untagged
Port 4: PVID 20, VLAN 20 untagged
Port 5: PVID 10, VLAN 10 untagged, VLAN 20 tagged

Wäre nach meinem Verständnis, was Du willst/brauchst.

Woher kennt der MacMini seine IP im Gast-Netzwerk VLAN20? Und was ist mit den Geräten im Hauptnetz VLAN 10? Die Fritzbox macht ja sonst den DHCP Server und verteilt die Adressen, reichen die Switches die dann weiter?

Die FritzBox macht auch weiterhin das, was sie vorher gemacht hat. Da die FritzBox ja auch keine VLANs aktiv unterstützt, bekommt die davon auch nicht viel mit. Sie selbst "sieht" zwei Netzwerkverbindungen auf LAN1 zum Heimnetz und LAN4 zum Gastnetz. Das da ein VLAN-fähiger Switch kommt, ist der FritzBox "egal". So habe ich das bei mir ähnlich.

 

[Stationary]

Vielen Dank für die Korrektur, dann fürs Erste noch eine letzte Frage: die Fritzbox sendet auch ein Gastnetz-wlan aus (nur die Fritzbox, nicht die Devolos). In den seltenen Fällen, in denen ich mal von zu Hause arbeite, buchen sich dort der Laptop und das iPad ein. Wenn Port 4 nun untagged ist, was macht der Switch dann mit den Daten der beiden Geräte? Schiebt er die Daten dann in VLAN 10, wo die IP-Adressen nicht passen?
Oder wäre das die 2% der Fälle, bei denen der Endgeräte-Port doch einen Tag bekommen sollte?
Die beiden Dienstgeräte müssen bei mir zu Hause nirgendwo hin, nicht mal zum Drucker.

Apropos Drucker: wenn das LAN-Interface mit dem Hauptnetz VLAN 10 und das WLAN-Interface mit dem Gastnetz VLAN 20 verbunden wird, sollte der Drucker doch ohne großen/weiteren Aufwand aus beiden Netzwerken erreichbar sein, oder?

(O.k., das waren jetzt dann doch zwei Fragen).

 

[Barungar]

In den seltenen Fällen, in denen ich mal von zu Hause arbeite, buchen sich dort der Laptop und das iPad ein. Wenn Port 4 nun untagged ist, was macht der Switch dann mit den Daten der beiden Geräte? Schiebt er die Daten dann in VLAN 10, wo die IP-Adressen nicht passen?

Der Switch schiebt die Pakete ins VLAN 20, weil es das PVID für den Port ist. Der Switch akzeptiert nur VLAN 20 auf dem Port. Er selbst sendet die VLAN 20 Pakete ohne Tag raus. Und Pakete, die der Switch ohne Tag (von der FritzBox) empfängt, ordnet er dem PVID also VLAN 20 zu.

Anschließend können diese Pakete dann (trotzdem) über Switch-Port 5 weitergeleitet werden, dann aber mit Tag; weil Port 5 neben VLAN 10 (untagged) auch VLAN 20 (tagged) erlaubt.

Oder wäre das die 2% der Fälle, bei denen der Endgeräte-Port doch einen Tag bekommen sollte?

Nein. Ein solcher Fall wäre z.B. eine OPNsense, die Du mit einem LAN-Kabel an den Switch anschließt, die dann aber z.B. vier VLANs bekommt, weil sie intern auch passende vier, virtuelle Interfaces hat. Oder ein Server der virtuelle Maschinen bzw. Docker macht, hier könnte man auch mehrere VLANs anliefern, damit die VMs bzw. Container in verschiedene Netze können.

Apropos Drucker: wenn das LAN-Interface mit dem Hauptnetz VLAN 10 und das WLAN-Interface mit dem Gastnetz VLAN 20 verbunden wird, sollte der Drucker doch ohne großen/weiteren Aufwand aus beiden Netzwerken erreichbar sein, oder?

Nein, der Drucker ist niemals aus dem Gastnetz (VLAN 20) erreichbar. Die FritzBox trennt diese Netze und Dein Switch auch. Zwei getrenne VLANs (VLAN 10 und 20) können nicht miteinander kommunizieren. Dafür würde es einen Router benötigen, der zwischen dem VLAN 10 und dem VLAN 20 routet; aber dann brauchst Du auch kein Gastnetz mehr. Der Sinn ist ja, dass Geräte im Gastnetz das Internet nutzen können, aber unter keinen Umständen an Geräte im Heimnetz (z.B. das NAS oder den Drucker) herankommen.

 

[Stationary]

Nein, der Drucker ist niemals aus dem Gastnetz (VLAN 20) erreichbar.

Trotz der beiden Interfaces nicht? Per Kabel im VLAN10 und per Wifi im VLAN20?

 

[Barungar]

Genau, der Drucker ist in VLAN 10 ... aus Layer 2-Sicht.

VLAN 10 kannst Du Dir als Menge aller Interfaces vorstellen, die LAN-Ports der FritzBox außer Port 4 sind, sowie die Haupt-SSID der FritzBox und alle Ports Deiner Switche, denen eben VLAN 10 zugeordnet ist.

VLAN 20 wiederrum stellt die Menge aller Interfaces dar, die den LAN-Port 4 der FritzBox, die Gast-SSID der FritzBox und alle Ports Deiner Switche, denen eben VLAN 20 zugeordnet ist.

Zwischen VLAN 10 und VLAN 20 ist keine Kommunikation möglich. Daher macht man ja VLANs, weil man Netzwerk-Verkehre trennen will. Das "erkennst" Du auch daran, dass Geräte in VLAN 10 andere IPs haben als Geräte in VLAN 20. Geräte im VLAN 20 erhalten IPs aus dem "Gast-IP-Bereich", egal ob über WLAN oder LAN.

Wie ich oben schon mal sagte, würde es nun einen Router bzw. eine Firewall benötigen, damit beide VLANs miteinander "sprechen" könnten. Was aber das Prinzip "Gastnetz" ad absurdum führt.

Der Drucker in VLAN 10, kann von keinem Gerät in VLAN 20 "angesprochen" bzw. genutzt werden.

Edit:

Per Kabel im VLAN10 und per Wifi im VLAN20?

Bezieht sich das auf den Drucker? Du hast Deinen Drucker gleichzeitig per LAN-Kabel im VLAN 10 und per Wifi im Gastnetz der FrtizBox? In diesem Fall müsste der Drucker auch zwei IP-Adressen haben, aus beiden Netzen. In diesem Fall wäre der Drucker natürlich aus beiden Netzen erreichbar.

Und, verzeih mir, im Prinzip auch eine Sicherheitslücke... weil es nun im Zweifel auch möglich ist, über den Drucker Zugriff auf das LAN (Heimnetz) zu erlangen. Gerade Drucker sind gern gesehene Einfallstore in Netze. Das ist jetzt kein akutes "Loch", aber ein potenzielles Risiko. Weil Du nun ja doch eine Verbindung (außer der FritzBox) zwischen beiden Netzen gebaut hast.

 

[Stationary]

Danke für die ausführliche Erklärung! Noch habe ich den Drucker nicht im Gastnetz. Technisch wäre es möglich, weil er zwei Interfaces hat, bisher nutze ich ihn nur über das LAN-Kabel, das wifi ist aus.
Das Gastnetz nutze ich bisher ja nur für die Arbeitsgeräte, und da ist alles paperless.

Das mit dem Drucker war nur eine Überlegung, ob ich ihn irgendwie auch für den MacMini verfügbar machen kann, falls von dort gedruckt werden muß. Ist aber, wie ich Deinen Ausführungen entnehme, keine gute Idee.

Es spricht aber vermutlich nichts dagegen, den MacMini so zu konfigurieren, daß das Bootcamp-Windows per Kabel im Gastnetz VLAN 20 hängt, das MacOS aber per Wifi im Hauptnetz VLAN 10?
Wenn mal gedruckt werden muß, dann vom MacOS aus.
Da Windows und MacOS nicht gleichzeitig laufen, gibt ja auch keine Verbindung der beiden Netze (außer der Fritzbox).

 

[Barungar]

Das mit dem Drucker war nur eine Überlegung, ob ich ihn irgendwie auch für den MacMini verfügbar machen kann, falls von dort gedruckt werden muß. Ist aber, wie ich Deinen Ausführungen entnehme, keine gute Idee.

Ja, technisch und zu 99% auch praktisch ist das möglich.

Aus Sicherheitsgedanken ist es aber eher kritisch, über einen Client (also ein Gerät, auch ein Drucker, das kein geschützer Router bzw. eine Firewall ist) ein Heim- und Gastnetz zu verknüpfen. Auch wenn der Drucker nicht aktiv die beiden Netze verbindet (routet), so wäre er doch eine möglichlich Übergangsstelle um von A nach B zu kommen.

Wenn Du nur hin und wieder mal aus VLAN 20 drucken willst, und das mit einem überschaubaren Aufwand. So würde ich die WLAN-Karte im Drucker statisch auf eine IP konfigurieren, die im Gastnetz liegt (und ideal außerhalb des DHCP-Bereichs) z.B. 192.168.179.250 mit Maske 255.255.255.0 und Gateway 192.168.179.1 (Subnetz basiert auf Standard Fritz Gastnetz). Dann würde ich die WLAN-Funktion im Drucker deaktivieren. Wenn dann der akute Bedarf auftritt, würde ich (aus dem Heimnetz) auf dem Drucker das WLAN aktivieren. Dann kannst Du aus dem Gastnetz/VLAN 20 drucken. Anschließend würde ich das WLAN am Drucker wieder deaktivieren.

Ja, ist ein wenig Aufwand; aber das wäre für mein eigenes "Sicherheitsbedürfnis" die einfachste Lösung. Es obliegt natürlich Deinem eigenen Sicherheitsbedürfnis, ob Du eine dauerhafte Verbindung machst oder so eine zeitweise Lösung.

Es spricht aber vermutlich nichts dagegen, den MacMini so zu konfigurieren, daß das Bootcamp-Windows per Kabel im Gastnetz VLAN 20 hängt, das MacOS aber per Wifi im Hauptnetz VLAN 10?
Wenn mal gedruckt werden muß, dann vom MacOS aus.
Da Windows und MacOS nicht gleichzeitig laufen, gibt ja auch keine Verbindung der beiden Netze (außer der Fritzbox).

Ich bin kein Mac-User und kenne Bootcamp nicht. Aber rein technisch sollte ein Mac-VLAN fähig sein. Dazu müsstest Du vermutlich folgendes machen. Irgendwo (im Bootcamp oder in den Einstellungen des MiniMac) musst du definieren, dass wenn MacOS gestartet wird, die Netzwerkkarte "normal" genutzt wird (untagged, VLAN irrelevant). Für den "Windows-Boot" müsstest Du definieren, dass die Netzwerkkarte als ausschließlich VLAN 20 tagged genutzt wird. Am entsprechenden Switch-Port, an dem der Mini-Mac angeschlossen ist, müsste dazu natürlich auch die VLAN-Konfig sein: PVID 10, VLAN 10 untagged & VLAN 20 tagged.

 

[blurrrr]

Nein, der Drucker ist niemals aus dem Gastnetz (VLAN 20) erreichbar. Die FritzBox trennt diese Netze und Dein Switch auch.

@Stationary, vergiss vllt einfach mal die "physikalische" Infrastruktur und betrachte nur die "logische". Jedes VLAN für sich ist etwas eigenständiges. Stell Dir einfach vor, Du hättest einfach alles doppelt (ab dem Router). Ein Kabel geht zur LAN-Infrastruktur (mit eigenen Devolos und Switchen) und ein Kabel geht zur Gast-Netz-Infrastruktur. Die WLAN-Clients des Routers (je nach SSID) werden auch ins entsprechende Netz verfrachtet. Es sind - und bleiben - also 2 getrennte Netze. Das mit dem Drucker wird ja vorher auch nicht funktioniert haben

Aus Sicherheitsgedanken ist es aber eher kritisch

Indeed... blöd ist das in diesem Szenario halt mit dem Router... Hätte man da nun noch eine Firewall, welche man vernünftig managen könnte, würde man z.B. einfach ein drittes Netz machen, da kommt der Drucker rein, dieses Netz darf nirgendwo hin und das LAN, als auch das Gast-Netz dürfen auf den Drucker zugreifen (LAN->Drucker<-Gast).

Aber rein technisch sollte ein Mac-VLAN fähig sein.

Ist er, Anleitung dazu hatte ich hier irgendwo schon gepostet. Ich würde aber - wenn sowieso Switche vorhanden sind - eher nicht hingehen und "mal so, mal so" rummachen. Fix ist fix, fertig, alles andere ist doch viel zu stessig... Entweder gibt es noch einen eigenen Drucker, oder man packt kurz was auf einen USB-Stick (sofern vom Drucker unterstützt), oder mailt es kurz ans Drucker-Familienoberhaupt. Davon ab... Jugend... Handy... drucken die nicht auch schon über's Handy (via Bluetooth)? Ich persönlich find sowas ja gruselig, aber scheint ja doch einige zu geben, die sowas machen

EDIT:

Das mit dem Drucker war nur eine Überlegung, ob ich ihn irgendwie auch für den MacMini verfügbar machen kann, falls von dort gedruckt werden muß.

Wenn man 2 von einander abgeschottete Netze hat, ist sowas "niemals" eine gute Idee (das wäre dann die mögliche Brücke zwischen den beiden Netzen), von daher sowas immer - wie oben erwähnt - im besten Fall in ein drittes Netz packen, ist bei Dir aber "mal eben" nicht möglich (aber vllt ist das ja auch etwas für das nächste Bastel-Projekt ).

 

[Stationary]

MacOS ist VLAN-fähig. Man definiert dazu einfach einen virtuellen Netzwerkadapter.

vergiss vllt einfach mal die "physikalische" Infrastruktur und betrachte nur die "logische". Jedes VLAN für sich ist etwas eigenständiges.

Habe ich ja. Daher die Annahme, daß mein Drucker theoretisch im Netzwerk 2 IP-Adressen bekommen könnte, nämlich eine mit dem LAN-Port und eine andere (gleichzeitig) über WLAN, wobei die Fritzbox da ja auch zwei unterschiedliche MACs erkennt. Wenn das kein Sicherheitsproblem wäre (darum mache ich das nicht) könnte der Drucker mit dem LAN-Anschluß in VLAN 10 hängen und mit dem WLAN in VLAN 20. Da das eine unerwünschte Brücke gibt, wenn beide Netzwerkzugänge gleichzeitig aktiv sind, ist das unsicher und ich werde diese hypothetische Möglichkeit nicht realisieren.

Andererseits hat der MacMini zwei unabhängige Betriebssysteme, von denen immer nur eines zur Zeit laufen kann. Außerdem hat er natürlich einen LAN- und einen WLAN-Adapter Auch hier erkennt die Fritzbox unterschiedliche Adapter und kann zwei verschiedene IP-Adressen vergeben. Wenn nun das Windows nur über den LAN-Port ins Gastnetz VLAN 20 darf (und WLAN abgeschaltet ist) sehe ich erst einmal kein Problem, wenn nach einem Neustart unter MacOS der LAN-Adapter abgeschaltet ist und das MacOS dann per WLAN ins Hauptnetz VLAN 10 kommen darf…und dort dann auch drucken dürfte.
Mache ich da einen Denkfehler?

Mein Problem ist das Windows, das ich aussperren will. Die Zockerei und die unkontrollierbaren Downloads finden unter Windows statt.

Drucken per USB wäre natürlich eine Option, erfordert aber, daß die Dateien in einem druckbaren Format vorliegen. Mal eben die pptx der Schulpräsentation ausdrucken geht dann nicht mehr, da muß ein PDF her. Sollte die Zielgruppe aber hinbekommen.

 

[blurrrr]

Sofern man unter OSX nirgendwo den WLAN-Schlüssel auslesen kann, sollte das funktionieren... Falls doch.... schwierig... wäre dann ja ein leichtes den WLAN-Schlüssel auch auf die Windows-Installation zu übertragen...

EDIT: Dinge wie MAC-Spoofing (Änderung der MAC) für die WLAN-Adapter, um die Zugänge via Fritzbox zu kontrollieren, hab ich jetzt mal aussen vor gelassen (sowas lässt sich leicht mit administrativen Rechten (oder gar einer Neuinstallation) umgehen). Wäre halt eher eine schäbige Bastellösung. Alternativ kann man noch so richtig auf die Pauke hauen (da kommste mit diesen Switchen aber nicht hin), noch einen Radius aufsetzen und dann mit entsprechenden Switchen die Authentifizierung "am Port" mittels Radius fahren und je nach Login, wird der Client in ein entsprechendes VLAN gedrückt (leichter Lesestoff). Das ist dann aber schon die wirklich "dicke" Lösung... Vielleicht doch mal den "Firewall"-Gedanken ins Auge fassen...

Allerdings frage ich mich grade, ob es nicht theoretisch auch möglich wäre, wenn das ganze via VPN realisiert wird (ggf. noch direkt als on-demand unter OSX). Sobald der Drucker angesprochen wird, wird eine VPN-Verbindung (vom Gastnetz raus und dann rein ins LAN) aufgebaut (ich hör schon die Steine fliegen... ). Dazu eine selbstgebastelte VPN-Config, welche nur den Zugriff auf den Drucker erlaubt.... aber ich glaub... ich bin jetzt besser mal ganz still...

 

[Stationary]

Falls doch.... schwierig... wäre dann ja ein leichtes den WLAN-Schlüssel auch auf die Windows-Installation zu übertragen.

Vom Gesichtspunkt Sicherheit/Angreifbarkeit her oder eher vom Gesichtspunkt „jugendlicher Pseudohacker versucht Sperre zu umgehen“?
In OSX bekomme ich den Schlüssel natürlich aus der Keychain ausgelesen.