Cómo solucionar que pktmon llene la unidad c en segundo plano en Windows 11

Tu unidad C está perdiendo espacio aunque no hayas instalado nada nuevo. Revisas el uso del disco y descubres un archivo .etl grande en la carpeta del sistema de Windows. Este archivo lo crea pktmon, la herramienta integrada de monitor de paquetes que se ejecuta en segundo plano.

pktmon captura el tráfico de red y escribe los datos en un archivo de registro. Cuando un proceso o una tarea programada inicia pktmon sin un comando de detención, el archivo de registro crece hasta llenar la unidad. Este artículo te muestra cómo encontrar y eliminar el archivo de captura de pktmon y cómo detener la captura de forma permanente para que no vuelva a ocurrir.

Por qué pktmon captura datos en segundo plano y llena la unidad C

pktmon es una herramienta de diagnóstico de red de línea de comandos incluida en Windows 11. Captura paquetes de red y los escribe en un archivo de registro de seguimiento de eventos con extensión .etl. La herramienta se utiliza típicamente por administradores de TI para solucionar problemas de red. Cuando un usuario o una tarea programada ejecuta pktmon start sin especificar un tamaño máximo de archivo o un comando de detención, la captura se ejecuta indefinidamente.

El archivo de registro se almacena en C:\Windows\System32\LogFiles de forma predeterminada. En una red ocupada, pktmon puede escribir cientos de megabytes o incluso gigabytes de datos por hora. El archivo crece hasta llenar la unidad porque no hay un límite de tamaño integrado a menos que se configure uno. Las causas más comunes son un inicio manual olvidado, un script que no incluyó un comando de detención, o una tarea programada que inicia pktmon al arrancar.

Escenarios comunes que desencadenan capturas de pktmon en segundo plano

Un usuario puede ejecutar pktmon start durante una sesión de solución de problemas de red y olvidarse de detenerlo. Una herramienta de monitoreo de red de terceros puede llamar a pktmon internamente y no detenerlo. Windows en sí no inicia pktmon automáticamente, pero una configuración de directiva de grupo o un script de inicio pueden habilitarlo sin que el usuario lo sepa.

Pasos para detener pktmon y eliminar el archivo de captura

Necesitas privilegios de administrador para detener pktmon y eliminar el archivo de registro. El proceso implica tres pasos: detener la captura, eliminar el archivo y evitar reinicios automáticos.

1. Abrir el símbolo del sistema como administrador
   Haz clic en Inicio, escribe cmd, haz clic derecho en Símbolo del sistema en los resultados de búsqueda y selecciona Ejecutar como administrador. Haz clic en Sí en el aviso de Control de cuentas de usuario.
2. Comprobar si pktmon está en ejecución
   Escribe pktmon status y presiona Enter. La salida muestra si hay una captura activa. Si dice “Estado: En ejecución”, continúa con el siguiente paso. Si dice “Estado: No en ejecución”, la captura ya se ha detenido, pero el archivo de registro puede seguir existiendo en el disco.
3. Detener la captura
   Escribe pktmon stop y presiona Enter. El comando detiene la captura activa y cierra el archivo .etl. Sin salida significa que el comando se ejecutó correctamente.
4. Eliminar el archivo de registro
   Escribe del C:\Windows\System32\LogFiles\PktMon.etl y presiona Enter. Si ves “Acceso denegado”, el archivo todavía está en uso. Reinicia el equipo e inténtalo de nuevo inmediatamente después de iniciar sesión. Alternativamente, usa el Explorador de archivos para navegar a C:\Windows\System32\LogFiles, localiza PktMon.etl, haz clic derecho y selecciona Eliminar. Proporciona permiso de administrador si se solicita.
5. Verificar que se ha recuperado espacio en disco
   Abre el Explorador de archivos, haz clic derecho en la unidad C y selecciona Propiedades. El espacio libre debería aumentar en el tamaño del archivo .etl eliminado. También puedes ejecutar dir C:\Windows\System32\LogFiles en el símbolo del sistema para confirmar que el archivo ha desaparecido.

Evitar que pktmon se inicie automáticamente

Si pktmon se inicia de nuevo después de un reinicio, una tarea programada o un script de inicio es el responsable. Deshabilita la tarea programada para detener la captura automática.

1. Abrir el Programador de tareas
   Haz clic en Inicio, escribe Programador de tareas y abre la aplicación.
2. Buscar la tarea de pktmon
   En el panel izquierdo, expande Biblioteca del Programador de tareas > Microsoft > Windows > Red. Busca una tarea llamada PktMon o Monitor de paquetes. Si no la ves, expande otras carpetas como Diagnóstico o Rendimiento.
3. Deshabilitar la tarea
   Haz clic derecho en la tarea y selecciona Deshabilitar. Una tarea deshabilitada no se ejecuta con ningún desencadenador.
4. Comprobar la directiva de grupo
   Escribe gpedit.msc en el cuadro de diálogo Ejecutar y presiona Enter. Navega a Configuración del equipo > Plantillas administrativas > Red > Diagnóstico de red. Busca una directiva llamada “Configurar monitor de paquetes de red” o similar. Si está establecida en Habilitada, cámbiala a No configurada o Deshabilitada.

Si pktmon sigue llenando la unidad después de la solución principal

A veces el archivo de captura reaparece incluso después de eliminarlo y deshabilitar la tarea programada. Estos escenarios explican por qué y cómo resolverlos.

“Acceso denegado” al intentar eliminar PktMon.etl

El archivo está bloqueado por un proceso en ejecución. El propio servicio pktmon mantiene el archivo abierto mientras captura. Ejecuta pktmon stop primero. Si el archivo sigue bloqueado, reinicia el equipo y elimina el archivo inmediatamente después de iniciar sesión, antes de que se inicien aplicaciones que usen mucha red. Si el problema persiste, inicia en modo seguro y elimina el archivo desde allí.

pktmon se inicia de nuevo después de una actualización de Windows

Una actualización de Windows puede volver a habilitar la tarea programada o restablecer la configuración de directiva de grupo. Después de la actualización, repite los pasos para deshabilitar la tarea en el Programador de tareas. Para que el cambio sea persistente, crea una directiva de grupo local que deshabilite explícitamente el diagnóstico de Monitor de paquetes de red.

El antivirus o software de monitoreo de terceros desencadena pktmon

Algunas herramientas de seguridad o monitoreo de red llaman a pktmon para capturar tráfico. Consulta la documentación de tu suite de seguridad instalada. Si identificas el software, deshabilita la función de captura de paquetes dentro de esa herramienta o desinstala el software si no es necesario.

Detención manual vs deshabilitar tarea programada: comparación de efectividad

Elemento	Detención manual de pktmon	Deshabilitar tarea programada
Descripción	Detiene la captura activa inmediatamente y cierra el archivo de registro	Evita que pktmon se inicie en cualquier desencadenador futuro
Efecto en el archivo existente	Libera el archivo para que pueda ser eliminado	No afecta a un archivo existente
Efecto en capturas futuras	La captura se detiene hasta que se ejecute pktmon start de nuevo	La captura nunca se inicia automáticamente
Persistencia después del reinicio	La captura no se reinicia a menos que una tarea o script la inicie	La captura no se reinicia porque la tarea está deshabilitada
Cuándo usar	Recuperación inmediata de espacio en disco	Prevención permanente de capturas en segundo plano

Ahora sabes por qué pktmon llena la unidad C y cómo detenerlo. Ejecuta pktmon stop y elimina el archivo .etl para recuperar espacio de inmediato. Luego deshabilita la tarea programada en el Programador de tareas para evitar que la captura se reinicie. Para un control avanzado, usa pktmon start –etw -p 0 para ejecutar una captura con un búfer circular de tamaño cero que nunca escriba en el disco.