diff --git a/Enrolamiento-Windows-11.md b/Enrolamiento-Windows-11.md
new file mode 100644
index 0000000..19cf7f8
--- /dev/null
+++ b/Enrolamiento-Windows-11.md
@@ -0,0 +1,53 @@
+# Enrolamiento Windows 11
+
+## Paquete moderno
+
+Use:
+
+`sgu-windows11-client-bootstrap-VERSION.zip`
+
+El manifiesto declara `Windows11Modern` y requiere build 22000 o posterior. El
+paquete conserva todas las funciones comunes del cliente y añade el flujo Azure
+P2S/pre-logon.
+
+## Red directa del laboratorio
+
+```bat
+Start-SguClientEnrollment.cmd 192.168.50.10 192.168.50.21
+```
+
+La segunda dirección debe ser libre y exclusiva. En Hyper-V, mantenga Internet
+en `Default Switch` y la red de dominio en una segunda NIC sin puerta de enlace.
+
+## Azure P2S
+
+El paquete moderno incluye:
+
+- `Start-SguAzureClientEnrollment.cmd`;
+- `Install-SguAzureP2sClient.ps1`;
+- perfil IKEv2 de todos los usuarios;
+- certificado de máquina;
+- DNS dividido mediante NRPT para `lci.lasalle.mx`;
+- disponibilidad del túnel antes de autenticar una cuenta nueva de dominio.
+
+Ejemplo:
+
+```bat
+Start-SguAzureClientEnrollment.cmd 10.77.0.4 C:\SGU\vpn.zip C:\SGU\cliente.pfx C:\SGU\raiz.cer
+```
+
+El certificado PFX se protege con una contraseña solicitada de forma segura. No
+se debe incluir la contraseña en archivos por lotes, documentación o historial.
+
+## Funciones compartidas
+
+El perfil moderno conserva los mismos controles del legado:
+
+- Credential Provider SGU y proveedor de contraseña de Microsoft disponible;
+- autenticación mTLS y certificados no exportables;
+- cuenta local estándar administrada;
+- RustDesk, monitorización y reparación al arranque;
+- unión proveedor-primero: el dominio es el último cambio.
+
+Para Azure consulte la guía completa
+[azure-vpn-deployment.md](https://gitea.lci.ulsa.mx/alexrg/SGU-CredentialProvider/src/branch/main/docs/azure-vpn-deployment.md).