Si al intentar descargar la ISO oficial de Windows 11 aparece un aviso de bloqueo aunque no uses VPN, aquí tienes la explicación técnica y un plan de acción ordenado para resolverlo de forma definitiva y segura, sin trucos ni atajos que rompan los términos de uso de Microsoft.

Resumen del problema

Al descargar la ISO de Windows 11—desde la herramienta de creación de medios, Rufus o la página oficial—aparece el mensaje:

“We are unable to complete your request at this time. Some users, entities, and locations are banned from using this service… leveraging anonymous or location hiding technologies is not generally allowed.”

Incluso sin usar VPN, el bloqueo persiste. Se pueden compartir enlaces directos temporales que duran unas 24 h, pero eso no corrige la causa raíz. Otras personas reportan el mismo error.

Por qué ocurre

El servicio de descargas de Microsoft aplica controles automáticos para proteger la distribución de ISOs. Estos sistemas clasifican la IP de salida y el patrón de tráfico. Si la IP parece provenir de “redes anónimas” o infraestructura de centro de datos, el acceso puede bloquearse. Esto incluye:

• VPNs y relays de privacidad: WARP/1.1.1.1 en modo Warp, iCloud Private Relay, Opera/Brave con “VPN” o “Tor”, extensiones que enrutan tráfico, redes tipo Tailscale/ZeroTier si salen por un egress compartido.
• Proxys corporativos, educativos o hoteleros: “Secure Web Gateways”, filtrado HTTP(S) o salida a Internet centralizada que reescribe cabeceras.
• Centros de datos y escritorios remotos: VPS, RDP o “servidores en la nube” usados como navegador remoto.
• ASNs/regiones con mala reputación o IPs recicladas desde hosting.
• Aceleradores de descarga y gestores con conexiones paralelas que parecen automatización abusiva.
• Configuraciones de proxy en el sistema (WinHTTP/WinINET) u extensiones del navegador que actúan en silencio.

También influyen detalles menos obvios:

• CGNAT del ISP: si tu router muestra en “WAN” una IP privada (10.x.x.x, 172.16–31.x.x o 100.64–127.x.x) y en la web ves otra, compartes IP pública con más clientes. Si esa IP compartida está mal clasificada, te arrastra al bloqueo.
• IPv6 vs. IPv4: algunos relays solo afectan a uno de los dos. El navegador puede preferir IPv6 y entrar por un egress distinto.
• Políticas de seguridad de antivirus/firewall que insertan inspección HTTPS vía proxy.

En resumen: el error rara vez es “un fallo del PC”. Es una clasificación de red/IP que debes normalizar.

Qué hacer

Aplica las acciones en este orden hasta que una funcione (y mantén los cambios que normalizan tu salida de red para evitar que el bloqueo regrese).

1. Cambiar de red de salida
   • Prueba con datos móviles mediante tethering (compartir Internet del teléfono) o con otra Wi‑Fi doméstica.
   • Evita redes de empresa, campus, hoteles o cualquier salida por centro de datos, RDP o VPS.
   • Si usas router propio, reinícialo para obtener otra IP; con algunos ISPs obtienes un pool diferente tras unos minutos apagado.
2. Desactivar tecnologías de ocultación o filtrado
   • Apaga VPNs (incluye WARP/1.1.1.1 en modo Warp), iCloud Private Relay, opciones “Use Tor/Private” del navegador, y funciones “Hide my IP” en Proton/NextDNS, AdGuard, Blokada, etc.
   • En Windows: Configuración → Red e Internet → VPN y desconecta todo. Revisa también Configuración → Red e Internet → Proxy para desactivar “Usar un servidor proxy” y “Usar un script de configuración”.
   • Comprueba y restablece el proxy WinHTTP (usado por algunas herramientas y servicios del sistema):
   netsh winhttp show proxy netsh winhttp reset proxy
   • Deshabilita extensiones del navegador relacionadas con privacidad/descarga y cualquier “download manager” que fragmente en múltiples conexiones.
3. Intentar de nuevo por una vía oficial
   • Usa la página oficial “Descargar imagen de disco (ISO) de Windows 11” (la opción que entrega la ISO directamente, sin la herramienta).
   • Si prefieres la Herramienta de creación de medios, ejecútala como administrador y repite la prueba en la red ya normalizada.
   • Con Rufus, emplea solo la función para grabar el USB cuando ya tengas la ISO oficial. Evita que Rufus descargue si tu IP todavía es bloqueada.
4. Usar un navegador “limpio”
   • Abre Edge o Chrome en ventana privada, sin extensiones y sin aceleradores.
   • Si el problema persiste, crea un perfil nuevo del navegador o prueba en otro equipo en la misma red (te ayuda a aislar si el bloqueo es por dispositivo o por red).
5. Si nada funciona
   • Pide a alguien en otra red doméstica que genere el enlace directo oficial de la ISO desde la página de Microsoft y te lo comparta. Estos enlaces firmados caducan en ~24 h.
   • Como último recurso, contacta con el soporte de Microsoft y solicita revisión, aportando tu IP pública y la fecha/hora del bloqueo.

Diagnóstico rápido

Si quieres confirmar el origen del bloqueo o documentarlo para soporte, estas pruebas son útiles:

• Verifica IP y NAT: compara la IP que ve tu router en el puerto WAN con la IP pública que te muestran los servicios de “cuál es mi IP”. Si el router muestra 10.x.x.x, 172.16–31.x.x o 100.64–127.x.x, estás detrás de CGNAT.
• Comprueba proxy del sistema: netsh winhttp show proxy Si aparece algo distinto a Direct access (no proxy server), restablécelo: netsh winhttp reset proxy
• Revisa proxy del navegador: en Edge/Chrome, Configuración → Sistema y abre “Configuración del proxy del sistema”. Desactiva “Usar un servidor proxy” y “Usar un script de configuración”, salvo que tu red lo requiera.
• Desactiva agentes de inspección HTTPS en antivirus/firewalls de terceros (suele llamarse “Web Shield”, “HTTPS Scanning” o similar) y reinicia el navegador.
• Prueba un curl de cabeceras con el enlace firmado (sustitúyelo por el tuyo para no publicar rutas): curl -I "<URLFIRMADADE_MICROSOFT>" Un 403 con texto de bloqueo sugiere filtrado por reputación de IP o por política regional.

Buenas prácticas tras la descarga

• Valida la integridad: en PowerShell, calcula el hash y compáralo con el publicado por Microsoft. Get-FileHash .\Win1123H2English_x64.iso -Algorithm SHA256
• Crea el USB de forma correcta:
  • Abre Rufus → selecciona la ISO.
  • Esquema de partición: GPT (para equipos UEFI modernos).
  • Sistema destino: UEFI (no CSM).
  • Tamaño: pendrive de 8 GB o superior y verifica que no haya errores SMART.
• Evita dejar activa la ocultación de IP: vuelve a habilitar VPN/relays solo cuando no interfieran con descargas oficiales.

Soluciones específicas por tecnología

Si identificaste alguno de estos elementos, aplica la acción concreta correspondiente:

Elemento	Cómo detectarlo	Qué hacer
Cloudflare WARP	Icono activo; IP pública cambia al activar “Warp”	Desactiva “Warp” (modo 1.1.1.1 solo DNS) o ciérralo temporalmente
iCloud Private Relay	iPhone/iPad/Mac con “Relay privado” activo	Desactívalo en iCloud → Relay privado y reintenta
Opera/Brave con VPN/Tor	Indicador “VPN” azul o ventana privada con Tor	Desactiva ese modo o usa Edge/Chrome “limpios”
Proxy WinHTTP	netsh winhttp show proxy muestra un proxy	netsh winhttp reset proxy y reinicia
Proxy del sistema (WinINET)	“Usar un servidor proxy” activo	Desactivar en Ajustes de Proxy de Windows
SWG corporativo	Red de empresa/campus con filtrado HTTPS	Usa una red doméstica o datos móviles para la descarga
Descarga segmentada	Gestor abre muchas conexiones simultáneas	Descarga con navegador estándar (1 conexión)
CGNAT del ISP	WAN del router muestra IP privada	Pide IP pública dedicada o cambia temporalmente de red

Escenarios típicos y cómo se resuelven

• Teletrabajo con portátil de la empresa: el tráfico va por un túnel siempre activo. Solución: descargar desde un equipo personal en una red doméstica sin túnel corporativo.
• Router con DNS “protector” y proxy: algunos firmwares añaden filtrado web transparente. Solución: desactivar el proxy/filtrado durante la descarga o usar datos móviles.
• Navegador con 10 extensiones de privacidad: combinación de bloqueadores + anti‑tracking rompe la heurística del servidor. Solución: ventana privada sin extensiones o un navegador recién instalado.
• WARP o Relay activado por costumbre: olvidas que está en la bandeja. Solución: apagarlo y reconectar.
• Descarga desde un VPS: IP de centro de datos; será bloqueada casi siempre. Solución: descargar desde una red residencial.

Comprobaciones adicionales en Windows

• Restablecer la pila TCP/IP (no arregla reputación, pero limpia estados corruptos): netsh int ip reset netsh winsock reset ipconfig /flushdns Reinicia el equipo tras ejecutarlos.
• Preferencia temporal por IPv4 si sospechas que el egress “problemático” es IPv6: reg add "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" /v DisabledComponents /t REG_DWORD /d 32 /f Advertencia: esto solo para pruebas; vuelve a dejarlo por defecto (valor 0 o elimina la clave) tras descargar.
• Probar con PowerShell: Invoke-WebRequest -Uri "<URLFIRMADADE_MICROSOFT>" -OutFile "Win11.iso" Si el error es de red por reputación, también fallará aquí, confirmando que no es “tema del navegador”.

Preguntas frecuentes

¿Por qué un enlace directo que me envía otra persona sí funciona?
Porque esos enlaces están firmados para descarga directa; la autorización se codifica en la propia URL y suele expirar en ~24 h. Sirven como solución temporal, pero si tu IP sigue clasificada como “anónima”, el problema volverá en futuras descargas.

¿Es buena idea usar otra VPN para “salvar” la descarga?
No. Muchas VPNs también están clasificadas como infraestructura anónima. Lo recomendable es usar una red residencial normal y sin proxy, que es lo que el servicio espera.

¿Puede ser un problema legal o regional?
En raros casos, sí: algunas regiones o entidades pueden tener restricción por políticas o sanciones. Respeta siempre las leyes y los términos de servicio. Si estás en una región soportada y aun así te bloquean, la causa más probable es la reputación/rol de la IP.

¿Cambiar DNS (DoH/DoT) ayuda?
No suele cambiar nada: el bloqueo se decide por la IP de salida y por el comportamiento de la conexión, no por el resolutor DNS.

¿Desactivar el antivirus ayuda?
No es lo habitual. Lo que sí puede afectar es la inspección HTTPS con proxy que algunos antivirus insertan. Desactiva solo ese módulo durante la descarga, no la protección en tiempo real.

Lista de comprobación express

• ✅ Estoy usando una red doméstica (o tethering) sin proxys ni túneles.
• ✅ VPN/Relay/Proxy desactivados en Windows, navegador y herramientas.
• ✅ netsh winhttp reset proxy ejecutado y reiniciado el navegador.
• ✅ Descarga desde la vía oficial y con navegador “limpio”.
• ✅ Tras descargar, verifiqué el SHA‑256 y grabé el USB con Rufus en modo GPT/UEFI.

Resumen accionable

Si ves “We are unable to complete your request at this time…”, actúa así:

1. Cambia a datos móviles o a otra Wi‑Fi residencial.
2. Apaga VPN/relays y desactiva proxys (incluye WinHTTP y extensiones).
3. Descarga por la ruta oficial con Edge/Chrome en modo privado sin extensiones.
4. Si persiste, pide un enlace directo a alguien en otra red y completa la descarga en ~24 h.
5. Para una solución permanente, solicita a tu ISP una IP pública residencial o espera a la reasignación de IP si estás bajo CGNAT con mala reputación.

Conclusión

El mensaje no delata un fallo de tu equipo, sino una clasificación de red/IP que el servicio de Microsoft considera anónima o de riesgo. Normaliza la salida de red (sin VPN/relays/proxys, sin gestores de descarga agresivos) y usa las rutas oficiales de descarga. Los enlaces directos firmados funcionan como solución de emergencia, pero lo verdaderamente eficaz es corregir la salida de red para evitar bloqueos recurrentes.

---

Apéndice: comandos útiles

:: Ver proxy WinHTTP y restablecer
netsh winhttp show proxy
netsh winhttp reset proxy

\:: Restablecer pila de red
netsh int ip reset
netsh winsock reset
ipconfig /flushdns

\:: Calcular SHA-256 de la ISO (PowerShell)
Get-FileHash .\Win11.iso -Algorithm SHA256

\:: Descargar por PowerShell (usar tu URL firmada)
Invoke-WebRequest -Uri "\" -OutFile "Win11.iso"