没有 IPv6 包出网，仍可能读到地址
公网 IPv6 地址可能由运营商分配并保留在物理网卡上。即便隧道已经拒绝 IPv6 数据包，原生程序仍可能枚举网卡，读到地址后通过其他允许的连接传出。这是本机信息暴露，与 IPv6 包直接绕过隧道不同，也不代表普通网页都能读取网卡。
默认禁用 IPv6，按五层机制处理
默认配置先用 ipv4_only 解析策略，再只分配 IPv4 fake-ip；连接规则拒绝 IPv6 目标，同时让 IPv6 流量进入 TUN 后丢弃，减少绕行路径。前四层分别约束解析、映射与数据包路径，并由同一套设置协同工作。
第五层在支持管理的 Windows、Linux、macOS 网卡上停用 IPv6，减少公网地址被原生程序读取的暴露面，断开时尝试按原状态恢复。Android 无此权限，只使用前四层。无法管理的接口、桥接虚拟机等仍有边界。
DoH 加密查询，解析路径仍需分别看
DoH，即 DNS-over-HTTPS，用 HTTPS 传输 DNS 查询与响应。godusevpn 默认让远程解析经代理，本地解析与节点域名按用途、配置和保护状态走对应路径；本地 DNS 也可配置为 system，严格全局下另有加密引导策略。
因此“启用 DoH”不等于“所有 DNS 必经隧道”。加密传输也不意味着解析服务看不到查询内容。应同时理解加密方式、解析服务和实际出口。
全局禁直连，保护内核空档
开关开启、处于全局模式且用户仍希望连接时，系统闸限制隧道外直连。节点连接、订阅刷新回退、回环及允许的局域网等有必要例外；进程和设备直连不能随意绕开严格全局。
Windows 使用 WFP 持久规则，开机规则另行核查；Linux 使用 nftables，并在 systemd、OpenWrt 加载开机版，旧内核的 DNS 策略路由失败会告警。macOS 使用 pf，但 root 进程豁免，launchd 不保证早于联网。Android 被杀或重启期间的保护依赖系统 Always-on 与 lockdown。
看见降级，比只看连接按钮更重要
最新版会保留仍可工作的隧道，对部分保护异常标记 Degraded 并原地重装、重试；不是任何防护问题都立即断开。严格全局下，物理公网 IPv6 无法消除等情况仍可能阻止启动。
首页告警、日志与诊断用于判断实际状态。NAT 与桥接虚拟机也应分开看：桥接流量不一定经过本机协议栈，不能仅凭宿主已连接就假定它受保护。