沒有 IPv6 封包傳出，仍可能讀到位址
電信業者分配的公用 IPv6 位址，可能仍保留在實體網卡上。即使隧道已拒絕 IPv6 封包，原生程式仍可能列舉網卡，讀取位址後透過其他允許的連線送出。這屬於本機資訊暴露，與 IPv6 封包直接繞過隧道不同，也不表示一般網頁都能讀取網卡。
預設停用 IPv6，採用五層機制
預設設定使用 ipv4_only 解析規則，只分配 IPv4 fake-ip；連線規則拒絕 IPv6 目標，同時讓 IPv6 流量進入 TUN 後丟棄，減少繞行路徑。前四層分別約束解析、映射與封包路徑，並依同一套設定協同運作。
第五層會在支援管理的 Windows、Linux、macOS 網卡停用 IPv6，減少公用位址被原生程式讀取的暴露面，斷線時嘗試依原狀恢復。Android 沒有此權限，採用前四層。無法管理的介面與橋接虛擬機等仍有限制。
DoH 加密查詢，路徑仍要分別理解
DoH，也就是 DNS-over-HTTPS，以 HTTPS 傳輸 DNS 查詢與回應。godusevpn 預設讓遠端解析經由代理，本機解析與節點網域則依用途、設定及保護狀態選擇路徑。本機 DNS 可設為 system；嚴格全域保護下另有加密引導規則。
所以「使用 DoH」不表示「所有 DNS 都經過隧道」。傳輸加密也不代表解析服務看不到查詢內容。加密方式、解析服務與實際出口都需要一起理解。
全域禁直連，照顧核心重建的空檔
啟用開關、使用全域模式，且使用者仍想保持連線時，系統規則會限制隧道外的直連。節點連線、訂閱更新備援、回環及允許的區域網路等有必要例外；程序或裝置直連不能任意繞過嚴格全域保護。
Windows 使用 WFP 持久規則，開機規則另行檢查。Linux 使用 nftables，在 systemd、OpenWrt 載入開機版；舊核心的 DNS 規則路由失敗時會警告。macOS 使用 pf，但 root 程序會放行，launchd 也不保證早於連網。Android 在程式被終止或重新開機期間，需依靠系統 Always-on 與 lockdown。
保護狀態，比一顆連線按鈕更重要
最新版會保留仍可工作的隧道，將部分保護異常標為 Degraded，再原地重裝與重試；不會因任何防護問題都立刻斷線。但嚴格全域下，無法移除實體網卡的公用 IPv6 等情況，仍可能阻止啟動。
請結合首頁警告、日誌與診斷判斷。NAT 與橋接虛擬機也要分開看：橋接流量未必經過本機網路堆疊，不能因宿主已連線，就假定虛擬機也受到保護。