Unify Windows client bootstrap and discover network paths

docs/unified-bootstrap-validation.md

@@ -0,0 +1,57 @@
+# Validación del bootstrap Windows unificado
+
+Fecha: 2026-09-10. Paquete: 0.5.1.
+
+## Comprobaciones locales
+
+- Publicación Release del Auth Broker y del Credential Provider completada.
+- Pruebas Pester ejecutadas en Windows PowerShell 5.1: selección de rutas,
+  dos interfaces, VPN en otra subred, preferencia por la ruta de Windows,
+  restricción explícita de interfaz, APIPA, falta de ruta, prefijo más específico,
+  ruta de host y conflictos, DNS limitado al dominio, reintentos y compatibilidad.
+- Prueba TCP real con socket ligado a una IP e interfaz y servicio cerrado.
+- Reenrolamiento: se conserva la contraseña de `alumno` si la cuenta ya existe,
+  para no provocar rechazos de historial/complejidad tras aplicar las políticas
+  del dominio; se mantienen las verificaciones de permisos de usuario estándar.
+- El empaquetador genera un solo ZIP Windows con los lanzadores habitual y Azure,
+  el instalador VPN, el runtime offline y el manifiesto SHA-256.
+
+## Prueba real en Hyper-V
+
+Servidor: VM `Windows Server`, dominio `lci.lasalle.mx`, DC `192.168.50.10`.
+Cliente: VM `Windows11-002`, Windows 11 Enterprise LTSC, build 26100,
+nombre de equipo `DESKTOP-LM7D7OM`, inicialmente en WORKGROUP.
+
+Antes de la prueba se creó el checkpoint
+`Before SGU unified enrollment 2026-09-10`. El cliente sólo tenía conexión al
+`Default Switch`; se añadió la tarjeta `SGU AD Test` al switch `Laboratorio AD`
+y se configuró administrativamente `192.168.50.202/24` sin puerta de enlace.
+Esta preparación de la red del laboratorio es independiente del bootstrap:
+el enrolador no asignó esa dirección y no recibió parámetros de IP del cliente,
+interfaz, dominio, NetBIOS ni OU.
+
+Se ejecutó el paquete con la IP del DC, una credencial en memoria y
+`-SkipRestart` para inspeccionar el resultado; después se reinició el cliente.
+
+Resultados comprobados:
+
+- Selección automática de `Laboratorio AD` y descubrimiento autenticado de
+  `lci.lasalle.mx`, `LCI` y `OU=Laboratorio`.
+- Proveedor y certificados instalados; salud mTLS verificada antes de la unión.
+- Unión al dominio completada y `Test-ComputerSecureChannel` verdadero después
+  del reinicio.
+- `Test-SguClientEnrollment.ps1` con exigencia de dominio, broker, acceso remoto
+  y RustDesk: `IsValid=True`, sin incidencias, después del guard de arranque.
+- Interfaz privada `DomainAuthenticated`; interfaz de Internet `Public`, con
+  DHCP y su servidor DNS originales. Resolución pública y HTTPS comprobados
+  contra `www.microsoft.com` (HTTP 200).
+
+## Alcance pendiente
+
+Windows 10 se cubrió mediante pruebas de compatibilidad y código compartido,
+pero no se ejecutó una instalación real en Windows 10 en esta sesión. La VPN
+Azure y otras VPN requieren validación en sus redes reales; las pruebas locales
+cubren rutas en otra subred, pero no un gateway Azure activo.
+
+El servidor debe tener SGU preparado. La IP de un DC no permite crear una VPN,
+adivinar una IP libre ni sustituir permisos, DHCP o políticas de firewall.