Tu Mac envía la cuenta de Windows equivocada por RDP

El túnel se reconecta, el Mac vuelve a alcanzar la red de la oficina y Escritorio remoto sigue respondiendo con un fallo de inicio de sesión. Ese error no es del VPN. El túnel lleva el Mac a una red aprobada; una cuenta de Windows inicia sesión en el equipo remoto, y la entrada de conexión puede seguir enviando una cuenta que dejaste de usar hace meses.

Revisa la entrada antes de tocar el llavero.

La cuenta del VPN y la cuenta de Windows son cosas distintas

La identidad del VPN autentica el dispositivo o a la persona ante la puerta de enlace del túnel. No dice nada sobre qué cuenta de Windows aceptará el host remoto y no puede sustituirla. Cuando el túnel está sano y el escritorio rechaza el inicio de sesión, el problema ya ha pasado de la capa de red. Trata las dos autenticaciones como eventos separados con registros separados. La puerta de enlace puede mostrar una sesión limpia mientras el registro de seguridad de Windows anota un inicio de sesión fallido por un motivo completamente distinto.

Supongamos que el administrador te dijo que usaras EXAMPLE\alex y la entrada guardada sigue seleccionando un alex sin más. Son cuentas distintas. El nombre sin cualificar se resuelve contra las cuentas locales del equipo remoto, y en una máquina unida a un dominio puede que no se resuelva en absoluto a la identidad del dominio.

Por tanto, quitar el prefijo de dominio no es una reparación genérica. Cambia qué cuenta se solicita y puede producir un rechazo que parece un problema de contraseña cuando la contraseña nunca fue el problema.

Abre la entrada de conexión, no todo el llavero

En la aplicación Windows App actual para macOS, busca el equipo remoto en Dispositivos, abre su acción Editar y mira la cuenta asociada a esa entrada concreta. La aplicación ofrece controles de credenciales guardadas que te permiten elegir otra cuenta guardada o eliminar una obsoleta. Ese es el lugar admitido para corregir la selección. Cambia una propiedad cada vez, para que sepas qué edición fue realmente relevante. Un cambio de credenciales y un cambio de nombre de host hechos juntos producen un resultado que nadie puede atribuir.

No empieces borrando todos los elementos del llavero cuyo nombre contenga el nombre del servidor. Los elementos del llavero se comparten entre aplicaciones, y un borrado amplio puede eliminar acceso no relacionado sin cambiar nada en el lado de Windows. También destruye las pruebas que querrías si el problema real resulta ser el nombre de host, la ruta o el servicio RDP.

Si una credencial guardada la usan varios equipos remotos, comprueba esas dependencias antes de eliminarla. Editar la entrada de un equipo es reversible; borrar una credencial compartida es un cambio con mayor radio de impacto y peor rastro de auditoría.

Usa la forma de cuenta que proporcionó el administrador

Escribe la cuenta exactamente como se emitió, en la forma que espera el entorno: DOMAIN\user para un dominio al estilo NetBIOS, o el user principal name si es lo que usa el directorio. Luego guárdala para este equipo y haz un intento de conexión deliberado.

Fíjate en qué cuenta muestra el aviso de inicio de sesión. Un aviso que ya contiene un nombre distinto significa que la selección guardada no se sustituyó, y el intento que acabas de hacer volvió a probar las credenciales antiguas.

Mantén la contraseña fuera de notas, tickets y capturas de pantalla. Anota en cambio el nombre de la cuenta y el código de error exacto, porque el código distingue unas credenciales malas de un rechazo por política, una contraseña caducada o una máquina que no acepta RDP en absoluto.

Una conexión fallida antes del inicio de sesión es otra avería

Si el visor falla antes de que aparezca cualquier inicio de sesión de Windows, las credenciales no son el sospechoso. Comprueba que el nombre de host se resuelva, que la ruta al host exista por el túnel y que el servicio RDP esté escuchando. Una conexión TCP que nunca se establece nunca llega a la capa de cuenta.

A la inversa, un rechazo explícito de cuenta no es prueba de que el DNS esté roto ni de que deba relajarse la validación del certificado. Esos cambios debilitan la conexión y suelen dejar el rechazo exactamente donde estaba.

Prueba en los pasos más pequeños posible: confirma que el puerto es alcanzable, confirma que aparece el aviso de inicio de sesión, confirma que la cuenta mostrada es la que pretendes y luego introduce la contraseña. Cada paso tiene un fallo distinto y una solución distinta.

Deja en paz la reconexión automática

La reconexión automática reutiliza la entrada existente, incluida su cuenta guardada. Es una comodidad, no una reparación de credenciales, así que desactivarla no corrige una selección incorrecta y activarla no crea ninguna. Si la entrada ahora tiene la cuenta correcta, la reconexión la usará.

Guarda la entrada corregida, conéctate una vez a mano y anota qué cuenta funcionó. Esa sola línea es lo que hace que el diagnóstico de la siguiente persona sea de cinco minutos en lugar de una tarde de arqueología del llavero.