关键是让环境根本没有别的出口：线路断开时直接断网，而不是自动退回机器自己的网络。在系统或浏览器里设置代理做不到这一点，因为代理一失效，部分程序可能就走直连了。
普通代理设置的问题
- 系统代理和浏览器代理只对遵守设置的程序生效。
- 代理软件退出或崩溃时，流量可能回到默认路由。
- 问题发生时往往没有提示，事后才发现访问记录里有真实地址。
网络层隔离怎么做
SealedNet 里绑定线路的实例运行在专属网络中，这个网络不开 NAT，所有联网流量只能经机器上 agent 的出口接管走这条线路：
- 线路不通：实例没有网络，也不会启动；
- agent 停止：实例同样没有出口；
- DNS 和 UDP 由 agent 按线路处理，不从机器直接发出；
- 隔离规则被改动时，agent 会自动恢复并上报面板。
它防不了什么
- 有人用 root 权限在机器上主动拆除规则，同时 agent 也停止时，保护可能失效。
- 它只管网络出口。你在网页里填写的资料、登录的账号，不在保护范围内。
上线后建议打开告警，线路不通时能第一时间收到通知。想确认实际效果，可以看如何检查 DNS、WebRTC 和 IPv6。