Split Windows client bootstrap profiles

docs/azure-vpn-deployment.md

@@ -122,7 +122,7 @@ $w11 = .\scripts\New-SguAzureP2sCertificates.ps1 -ClientName 'Windows11'
 
 Copie a la VM Windows 11 de Hyper-V:
 
-- `sgu-client-bootstrap-VERSION.zip` extraído;
+- `sgu-windows11-client-bootstrap-VERSION.zip` extraído;
 - `$vpn.PackagePath`;
 - `$w11.ClientCertificatePath`;
 - `sgu-azure-p2s-root.cer`.

docs/bootstrap-recovery.md

@@ -96,7 +96,9 @@ Se admiten Pro, Enterprise y Education. Windows Home no puede unirse a Active
 Directory local ni actuar como host RDP; el bootstrap lo detecta antes de cambiar
 el equipo y explica que se debe actualizar la edición.
 
-1. Descargar y extraer `sgu-client-bootstrap-VERSION.zip`.
+1. Descargar y extraer el paquete correspondiente:
+   `sgu-windows10-legacy-client-bootstrap-VERSION.zip` o
+   `sgu-windows11-client-bootstrap-VERSION.zip`.
 2. Ejecutar con la IP fija actual del controlador de dominio:
 
 ```bat
@@ -111,6 +113,12 @@ del cliente, el bootstrap la solicita cuando el adaptador sólo tiene APIPA
 ruta predeterminada. Si falla, la ventana elevada permanece abierta y el mismo
 error queda en `C:\ProgramData\SGU\Bootstrap\Client\latest-error.log`.
 
+Cada manifiesto fija su perfil y evita cruzar paquetes: Windows 10 utiliza
+`Windows10Legacy` (build menor a 22000) y Windows 11 `Windows11Modern` (build
+22000 o posterior). El ZIP moderno conserva tanto el enrolamiento directo como
+Azure P2S/pre-logon; el ZIP legado contiene el flujo directo. El código común y
+las garantías de seguridad son idénticos.
+
 Después de UAC, se solicita interactivamente la credencial autorizada para unir
 equipos. La contraseña existe sólo en memoria. El bootstrap:
 

docs/client-enrollment.md

@@ -1,7 +1,11 @@
 # Enrolamiento obligatorio de clientes SGU
 
-Para una instalación limpia de Windows se prefiere el único punto de entrada
-empaquetado:
+Para una instalación limpia se selecciona primero el ZIP correspondiente:
+
+- `sgu-windows10-legacy-client-bootstrap-VERSION.zip` para Windows 10;
+- `sgu-windows11-client-bootstrap-VERSION.zip` para Windows 11.
+
+Ambos conservan el punto de entrada directo:
 
 ```bat
 Start-SguClientEnrollment.cmd 192.168.50.10 192.168.50.11
@@ -19,6 +23,13 @@ la única NIC activa sin puerta de enlace para no reemplazar el adaptador de
 Internet. Ante cualquier error conserva la ventana y escribe el diagnóstico en
 `C:\ProgramData\SGU\Bootstrap\Client\latest-error.log`.
 
+El manifiesto contiene el perfil `Windows10Legacy` o `Windows11Modern` y el
+bootstrap rechaza un ZIP que no corresponda al build instalado. El paquete de
+Windows 11 conserva además `Start-SguAzureClientEnrollment.cmd` y el instalador
+P2S de equipo; el legado de Windows 10 se limita al transporte directo del
+laboratorio. Credential Provider, mTLS, cuenta `alumno`, RustDesk, monitorización
+y autorreparación siguen saliendo de la misma base de código.
+
 El flujo administrado instala y valida el Credential Provider **antes** de
 ejecutar `Add-Computer`. La pertenencia al dominio es el último cambio; si falta
 el runtime, un certificado, el registro COM, la directiva predeterminada o la