Automate direct domain enrollment across Windows versions

README.md

@@ -104,9 +104,10 @@ the latest .NET 10 x64 runtime. The broker is published self-contained.
 Follow [docs/lab-runbook.md](docs/lab-runbook.md). Review
 [docs/security.md](docs/security.md) before production deployment and
 [docs/architecture.md](docs/architecture.md) for the component contract.
-For a public Azure VM connected to local Hyper-V clients through Azure VPN
-Gateway, use [docs/azure-vpn-deployment.md](docs/azure-vpn-deployment.md). AD
-ports remain private even though the VM owns a public IP.
+For a public Azure VM, use
+[docs/azure-vpn-deployment.md](docs/azure-vpn-deployment.md). It supports an
+optional Azure P2S gateway or direct enrollment restricted to explicit public
+source CIDRs.
 
 Never disable the built-in Microsoft password Credential Provider. It is the
 supported recovery path if a third-party provider fails to load.
@@ -127,8 +128,10 @@ Start-SguClientEnrollment.cmd 192.168.50.10
 El bootstrap prueba interfaces y rutas hacia el servidor, incluyendo VPN ya
 conectadas, sin pedir la IP del cliente ni exigir la misma subred. Conserva DHCP
 y el DNS de Internet; descubre el dominio autenticado y configura DNS sólo para
-ese dominio. El servidor debe tener SGU preparado y existir conectividad LAN/VPN.
-Los casos sin DHCP, sin ruta o con VPN desconectada muestran un diagnóstico.
+ese dominio. Si recibe una IP pública, configura DoH y los nombres necesarios de
+AD después de autenticar al servidor. El segmento público del cliente debe estar
+autorizado en el servidor y su firewall perimetral. Los casos sin DHCP o sin ruta
+muestran un diagnóstico.
 Ver [client-enrollment.md](docs/client-enrollment.md) para requisitos y parámetros
 avanzados de IP estática.