Cómo solucionar problemas de conexión RDP en Windows 11 25H2 causados por Credential Guard
Si has actualizado tu equipo a Windows 11 25H2 y has detectado que tus conexiones de escritorio remoto no funcionan correctamente, especialmente al usar nombres de cuenta no ASCII o conectarte por IP en lugar de FQDN, no estás solo. A veces, simplemente se niega a conectarse, generando errores de credenciales o simplemente colgándose. Tras investigar un poco y probar a fondo, el problema parece estar relacionado con Credential Guard, una función de seguridad diseñada para proteger las credenciales de usuario. Sí, es buena para la seguridad, pero en ciertas configuraciones, convierte el RDP en una pesadilla. Esta guía explica cómo entender qué ocurre, comprobar si Credential Guard está habilitado y cómo deshabilitarlo si es necesario. Porque, claro, Windows tiene que complicarlo. Una vez deshabilitado, las conexiones RDP deberían funcionar con más normalidad; la autenticación de nombre de usuario por IP (NTLM) debería volver a funcionar y los problemas inusuales con nombres de usuario no ASCII podrían desaparecer.
Cómo comprobar si Credential Guard está activado
Saber si Credential Guard está habilitado es el primer paso. La forma más sencilla es mediante PowerShell: powershell (Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning. Si devuelve un «1», Credential Guard está definitivamente activo, lo que explica por qué se bloquean algunas funciones relacionadas con RDP y credenciales. Un «0» significa que no está habilitado y que el problema podría ser otro. A veces, en equipos con Windows 11, Credential Guard se activa de forma predeterminada si el hardware falla (chips TPM, SecureBoot, virtualización, etc.).Se supone que protege las credenciales, pero puede dificultar las conexiones remotas.
Método 1: Deshabilitar Credential Guard mediante GPO
Si Credential Guard está habilitado y no lo necesita, puede deshabilitarlo mediante la directiva de grupo, pero solo si su dispositivo no tiene un bloqueo UEFI. El bloqueo es una configuración UEFI que impide cambios; por lo tanto, si está bloqueado, deberá deshabilitarlo primero (más información más adelante).- Presione Windows + R, escriba gpedit.mscy presione Intro para abrir el Editor de directivas de grupo.- Vaya a Configuración del equipo —> Plantillas administrativas —> Sistema —> Device Guard.- Busque Activar seguridad basada en virtualización y configúrelo como Deshabilitado. Esto suele ser útil porque impide que Credential Guard se active, lo que impide que NTLM se bloquee durante RDP. A continuación, debe deshabilitar algunas claves de registro que desactivan Credential Guard: powershell reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /f /v LsaCfgFlags /t REG_DWORD /d 0 y powershell reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0 Ejecútelas como administrador en PowerShell o el Símbolo del sistema. Esto deshabilita efectivamente la protección de Credential Guard.Nota: A veces, los cambios no surten efecto de inmediato. Generalmente se requiere reiniciar. Y si está en un dispositivo corporativo con un bloqueo UEFI, estos cambios locales pueden restablecerse después del reinicio, por lo que no siempre es tan sencillo.
Método 2: Manejo del bloqueo UEFI: el desafío oculto
Si la configuración UEFI tiene el bloqueo habilitado, desactivar Credential Guard mediante el registro o una GPO no funcionará. Windows lo vuelve a habilitar cada vez que se reinicia, ya que el bloqueo UEFI aplica políticas de arranque seguro. Para desactivar Credential Guard cuando el bloqueo UEFI está activo, debe crear manualmente una entrada de arranque temporal que inicie un cargador EFI especializado para permitir cambios. Comience copiando un archivo EFI especial: cmd copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi Luego, cree una nueva entrada de arranque: cmd bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d «DebugTool» /application osloader bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path «\EFI\Microsoft\Boot\SecConfig.efi» bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215} bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X: mountvol X: /d Reemplace `X:` con una letra de unidad libre. Esto configura un modo de arranque especial donde se puede deshabilitar Credential Guard. Cuando reinicie, durante el proceso de arranque, verá una opción llamada Herramienta de exclusión de Credential Guard; simplemente presione F3. Eso deshabilita Credential Guard para esta sesión y luego puede volver a arrancar Windows normalmente con la protección desactivada. Recuerde: este método es un poco inestable y, después del reinicio, la configuración predeterminada podría restablecerse a menos que parchee UEFI permanentemente. Además, en algunas configuraciones, este proceso puede requerir actualizaciones de firmware o ajustes de configuración UEFI de antemano.
¿Qué pasa si deshabilitar Credential Guard no ayuda?
Si has intentado desactivar Credential Guard y sigues teniendo problemas de conexión RDP, podría valer la pena comprobar otras cosas, como: – Asegurarte de que tus cuentas no tengan restricciones con caracteres no ASCII.- Confirmar que tu red, VPN o firewall no estén bloqueando los puertos UDP/TCP (3389 es el predeterminado).- Asegurarte de que la resolución DNS funciona y de que estás usando el nombre de host (FQDN) en lugar de solo la IP. A veces, reiniciar el sistema por completo después de estos ajustes ayuda a que los cambios se apliquen.
Resumen
- Puede comprobar si Credential Guard está activo con los comandos de PowerShell.
- Deshabilitarlo a través de GPO y el registro generalmente ayuda a superar los obstáculos de RDP, especialmente para nombres de usuario que no sean ASCII o conexiones basadas en IP.
- Si está involucrado el bloqueo UEFI, es posible que necesite crear entradas de arranque EFI temporales para deshabilitar Credential Guard en un nivel inferior.
- Tenga en cuenta que algunas configuraciones de hardware y firmware pueden restablecer estos cambios, por lo que las soluciones permanentes implican ajustes de configuración UEFI.
Resumen
Conseguir que RDP funcione correctamente en Windows 11 25H2 con Credential Guard activo no siempre es sencillo, pero saber qué lo bloquea facilita las cosas. No todo el mundo querrá desactivar Credential Guard, especialmente en un entorno corporativo, pero si el acceso remoto es crucial, a veces es la única opción. Simplemente asegúrese de evaluar las implicaciones de seguridad antes de desactivar estas protecciones. Con suerte, esto le ahorrará algunas horas a alguien. Si esto logra que una configuración vuelva a funcionar, merecerá totalmente la pena.