系统代理需要应用愿意使用

系统代理提供的是代理地址或自动配置，应用如何读取、是否使用，取决于自身实现。浏览器、系统服务和命令行工具可能使用不同的网络组件；自己直接建立套接字的程序，也可能完全不理会这份设置。

godusevpn 桌面端提供本机混合端口，默认地址为 127.0.0.1:2080，可供支持 HTTP 或 SOCKS5 的应用明确配置。关闭 TUN 后只靠这个端口，并不等于全机接管；只想代理特定工具时可这样使用，但要逐项确认应用设置。

TUN 接住流量，模式决定去向

TUN 建立虚拟网卡，通过路由将流量送入代理核心。godusevpn 默认启用 TUN，并配置自动路由与严格路由，减少应用忽略代理设置造成的绕行。桌面端需要相应系统权限，Android 则需要授予 VPN 权限。

TUN 和全局模式是两件事。规则模式会按规则分流，全局模式将普通外网访问送往代理，直连模式则直接访问。局域网、隧道自身连接与明确的例外仍有各自处理逻辑。不能因为 TUN 开着，就认为每一条连接都使用代理出口。

严格全局再加一道禁直连

只建立 TUN，还需要处理核心重建或节点不可用时的空档。godusevpn 的全局禁直连在开关开启、处于全局模式且仍要求连接时生效，通过系统机制约束绕开隧道的访问。它让等待恢复成为明确行为，而不是悄悄转为普通直连。

要检查它，先确认首页显示禁直连已生效，再在连接页核对不同应用的去向。不要用主动点断开来模拟故障：断开代表你撤回连接意愿，会解除这道闸。Android 的跨进程和重启保护，还需在系统开启始终开启 VPN 与阻止未经 VPN 的连接。

用实际应用核对覆盖范围

连接后依次访问一个普通网站、运行一个联网工具，再启动一个平时使用的应用。在 godusevpn 的连接页或内核日志中，按进程、目标和去向核对结果；规则模式下发现直连，先查看命中的规则，不要立即当成接管失效。

需要让虚拟机也受本机防护时，核对它使用的是 NAT 还是桥接。桥接设备如同局域网另一台机器，不能由本机 TUN 或禁直连覆盖。godusevpn 的价值在于把接管、分流、解析与保护状态做成可检查的完整链路，让隐私设置更容易正确执行。