Вот в том то и фишка пока он проверяет, рендерится публичный роутинг и когда этого пути нет, то сбрасывает путь на дефолтный. А потом уже подтягивается токен и данный по токену но уже на стартовой странице нахожусь.
Вот из-за этого и придумали CanLoad, CanActivate и тд и тп. Например у меня при первой загрузки страницы проверяет токен, если активный, то пропускает. А остальные страницы при переходе просто проверяет (есть ли фактический) и пропускает, а дальше под каждый запрос висит обработчик, если ошибка, что не авторизован, то идет редирект.