SGU-CredentialProvider/docs/unified-bootstrap-validation.md

Validación del bootstrap Windows unificado

Fecha: 2026-09-10. Paquete: 0.5.1.

Comprobaciones locales

• Publicación Release del Auth Broker y del Credential Provider completada.
• Pruebas Pester ejecutadas en Windows PowerShell 5.1: selección de rutas, dos interfaces, VPN en otra subred, preferencia por la ruta de Windows, restricción explícita de interfaz, APIPA, falta de ruta, prefijo más específico, ruta de host y conflictos, DNS limitado al dominio, reintentos y compatibilidad.
• Prueba TCP real con socket ligado a una IP e interfaz y servicio cerrado.
• Reenrolamiento: se conserva la contraseña de alumno si la cuenta ya existe, para no provocar rechazos de historial/complejidad tras aplicar las políticas del dominio; se mantienen las verificaciones de permisos de usuario estándar.
• El empaquetador genera un solo ZIP Windows con los lanzadores habitual y Azure, el instalador VPN, el runtime offline y el manifiesto SHA-256.

Prueba real en Hyper-V

Servidor: VM Windows Server, dominio lci.lasalle.mx, DC 192.168.50.10. Cliente: VM Windows11-002, Windows 11 Enterprise LTSC, build 26100, nombre de equipo DESKTOP-LM7D7OM, inicialmente en WORKGROUP.

Antes de la prueba se creó el checkpoint Before SGU unified enrollment 2026-09-10. El cliente sólo tenía conexión al Default Switch; se añadió la tarjeta SGU AD Test al switch Laboratorio AD y se configuró administrativamente 192.168.50.202/24 sin puerta de enlace. Esta preparación de la red del laboratorio es independiente del bootstrap: el enrolador no asignó esa dirección y no recibió parámetros de IP del cliente, interfaz, dominio, NetBIOS ni OU.

Se ejecutó el paquete con la IP del DC, una credencial en memoria y -SkipRestart para inspeccionar el resultado; después se reinició el cliente.

Resultados comprobados:

• Selección automática de Laboratorio AD y descubrimiento autenticado de lci.lasalle.mx, LCI y OU=Laboratorio.
• Proveedor y certificados instalados; salud mTLS verificada antes de la unión.
• Unión al dominio completada y Test-ComputerSecureChannel verdadero después del reinicio.
• Test-SguClientEnrollment.ps1 con exigencia de dominio, broker, acceso remoto y RustDesk: IsValid=True, sin incidencias, después del guard de arranque.
• Interfaz privada DomainAuthenticated; interfaz de Internet Public, con DHCP y su servidor DNS originales. Resolución pública y HTTPS comprobados contra www.microsoft.com (HTTP 200).

Alcance pendiente

Windows 10 se cubrió mediante pruebas de compatibilidad y código compartido, pero no se ejecutó una instalación real en Windows 10 en esta sesión. La VPN Azure y otras VPN requieren validación en sus redes reales; las pruebas locales cubren rutas en otra subred, pero no un gateway Azure activo.

El servidor debe tener SGU preparado. La IP de un DC no permite crear una VPN, adivinar una IP libre ni sustituir permisos, DHCP o políticas de firewall.