批准的出口，或明确拒绝
固定节点选择不等于固定公网 IP，应分别核验精确来源选择与重复出口观察。设置代理不等于已阻止直连。
严格的工作负载边界需要按真实身份、批准端点与协议限定访问，并由独立控制的机制拒绝其他相关出口。受保护程序不能自行改写保护规则。
- 核验原始程序、子进程、IDE 入口与委托服务。
- 限定保护范围，保留普通软件与远程恢复能力。
- 未确认优先级与回环能力时，不直接导入通用防火墙配方。
DNS 与替代协议
区分业务 DNS、解析器引导与代理上游引导。HTTPS 出口一致不能证明 DNS 路径。IPv6、QUIC、UDP、STUN 与 TCP 中继可能采用不同路径。
本站没有受控权威 DNS 测试，因此 DNS 权重仍为未覆盖；不会上传完整检测内容或读取本机解析器文件。
故障与恢复
在安全且已授权的测试边界内，分别核验正常运行、批准出口失效、资源刷新、网络切换、休眠唤醒与程序更新。不要通过关闭生产保护来演示泄漏。
没有安全验证方法时标记未测试。恢复限定范围的备份后，回读生效状态并复检受影响路径。