隧道之外，再建立系统防线
开启全局禁直连、处于全局模式且仍希望连接时，godusevpn 会限制隧道外的直接流量。普通业务由隧道策略处理，内核重建时等待恢复；这为连接空档增加一道系统侧防线，减少应用在代理暂不可用时直接绕行的机会。
节点连接、回环、允许的局域网以及必要的订阅刷新回退，各自仍有明确规则。禁直连保护服务于完整的连接流程，既要约束普通业务绕过隧道，也要为节点接通、网络维护和允许的本地访问保留必需路径。
核心退出后，恢复流程继续接力
当连接意愿仍为开启，内核意外退出不会让后台遗忘你的选择。守护流程识别异常，按退避策略重试，准备新配置并在启动前校验配置；成功重建后，再检查 TUN 与相关防护是否恢复。整条过程围绕重新获得可用连接展开。
退避让反复失败的启动不必密集冲击系统，配置校验则把一部分问题挡在启动之前。使用者无需守在连接按钮旁连续重试，也能从状态变化判断当前进行到哪一步，把注意力留给原本要完成的工作。
业务不通，也能触发更有针对性的修复
有时内核仍在运行，业务请求却连续失败。godusevpn 针对 Hysteria2、TUIC 的相关会话看护，会依据业务失败信号尝试重建同一节点会话，再进行健康检查。它处理的是卡住的连接状态，让恢复操作更贴近实际故障。
订阅更新同样照顾正在使用的连接：当前代理获取失败后，再尝试自动选择与必要的本次订阅直连回退；节点未改变时尽量保持现有连接。单次订阅获取的例外不会把其他应用一起改成直连，维护动作与业务路径各有范围。
状态真实可见，恢复入口始终清楚
防护检查不足时，客户端可以进入防护降级状态并明确告警，同时继续按条件修复；不同系统的防护能力和启动时序也会影响结果。godusevpn 将这些情况呈现出来，避免把一个仍能连接的按钮当作全部保护已经到位。
需要主动恢复系统网络时，可使用独立的恢复网络入口，即使服务起不来也有处理路径。此操作由使用者决定，会按流程解除相关防护并还原网络设置。自动重试、可见告警和主动恢复一起组成完整的故障处理能力。