Частыя пытанні PandaVPN CLI

Panda CLI — гэта кліент каманднага радка Panda, які дазваляе выконваць праз тэрмінал:

• Уваход і кіраванне ўліковым запісам
• Абнаўленне вузлоў і падключэнне да вузлоў
• Пераключэнне рэжымаў PandaVPN / Proxy / WireGuard / Auto
• Наладжванне сістэмнага проксі
• Правілы Split rules для раздзялення трафіку
• Наладжванне Split DNS
• Абарона Kill-switch
• Auto-connect
• Журналы і дыягностыка

Ён падыходзіць для ўдзельнікаў унутранага тэставання, распрацоўшчыкаў, дасведчаных карыстальнікаў і тэставых сцэнарыяў, якія патрабуюць скрыптаваных аперацый.

PandaVPN CLI лепш падыходзіць для аўтаматызаванага тэсціравання, аддаленага вырашэння праблем і падключэнняў праз сцэнарыі.

Panda Desktop і PandaVPN CLI — гэта два інтэрфейсы кіравання адным і тым жа PandaVPN daemon, якія выкарыстоўваюць агульны стан злучэння, таму іх можна выкарыстоўваць разам.

Не запускайце састарэлыя настольныя праграмы, такія як Panda-Qt або стары Linux AppImage, адначасова з PandaVPN CLI, бо гэта можа выклікаць канфлікты канфігурацыі сеткі.

Некаторыя магчымасці патрабуюць дазволаў на ўзроўні сістэмы, напрыклад:

• Стварэнне сеткавых інтэрфейсаў TUN / WireGuard
• Змяненне DNS
• Наладжванне сістэмнага проксі
• Ужыванне Kill-switch
• Выпраўленне маршрутаў
• Кіраванне packet VPN runtime

Таму CLI выконвае гэтыя аперацыі праз адпаведны для платформы daemon / service.

Формы daemon на розных платформах:

Асноўнае адрозненне: у Windows і macOS служба звычайна аўтаматычна ўсталёўваецца праз усталявальны пакет, а ў Linux карыстальніку звычайна трэба ўручную выканаць sudo panda service install.

У Windows толькі калі вы не выкарыстоўваеце ўсталявальны пакет і ўручную размяшчаеце двайковыя файлы, трэба выканаць у PowerShell ад імя адміністратара:

panda service install windows

У macOS гэта патрэбна толькі пры распрацоўцы і адладцы, калі не выкарыстоўваецца ўсталявальны пакет .pkg, або калі daemon не запускаецца аўтаматычна:

sudo panda start

Для Linux рэкамендуецца:

sudo panda service install
panda service status

Так, аднолькавыя. Асноўнае адрозненне — у архітэктуры загружанага ўсталявальнага пакета.

Крокі ўсталявання, каманды і спосаб кіравання службай аднолькавыя. Усталявальны пакет аўтаматычна павысіць правы і зарэгіструе Windows Service.

Так, аднолькавыя. Асноўнае адрозненне — у архітэктуры загружанага пакета .pkg.

Крокі ўсталявання аднолькавыя. Пасля ўсталявання праз .pkg LaunchDaemon / helper звычайна ўсталёўваецца і запускаецца аўтаматычна.

Для карыстальнікаў з усяго свету рэкамендуецца па змаўчанні выкарыстоўваць mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Калі пасля новага ўсталявання па змаўчанні ўжо выкарыстоўваецца mode auto, можна скарыстацца больш кароткім варыянтам:

panda login
panda node refresh
panda connect
panda doctor

Адпаведная скарочаная версія:

panda login
panda no re
panda conn
panda do

На афіцыйнай старонцы загрузкі і ў кіраўніцтве для пачаткоўцаў рэкамендуецца спачатку паказваць поўныя каманды; скарочаныя формы варта паказваць у пашыранай дакументацыі або ў апісанні інтэрактыўнага рэжыму.

gfwlist — гэта спецыфічная крыніца правіл раздзялення трафіку, якая не падыходзіць як рэжым па змаўчанні для карыстальнікаў па ўсім свеце.

Для глабальных карыстальнікаў па змаўчанні рэкамендуецца:

panda mode auto

Або пастаянна выкарыстоўваць глабальны рэжым PandaVPN:

panda mode pandavpn global

gfwlist можна пакінуць у дакументацыі па пашыраным раздзяленні трафіку, але не рэкамендуецца паказваць яго на першым экране афіцыйнага сайта, у Hero-раздзеле старонкі загрузкі або ў хуткім старце для пачаткоўцаў.

Рэкамендуецца спачатку адключыцца і выключыць Kill-switch:

panda disconnect
panda kill-switch off

Калі гэта ручное абнаўленне або абнаўленне Linux service, рэкамендуецца таксама спыніць daemon:

sudo panda stop

Пры абнаўленні macOS і Windows праз усталёўшчык ён звычайна аўтаматычна апрацоўвае ўсталяванне service і перазапуск. Пасля завяршэння абнаўлення рэкамендуецца выканаць:

panda version
panda doctor
panda connect

Пасля ручнога абнаўлення ў Linux рэкамендуецца:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Азначае bare group selector: VIP / SVIP / FREE tab не фіксуецца, API выбірае прыдатны tab.

panda connect svip us

Азначае фіксаванае выкарыстанне us у SVIP tab.

Форма з двукроп’ем эквівалентная і падыходзіць для скрыптоў:

panda connect svip:us

favorite tab цяпер з’яўляецца flat favorite channel list і не падтрымлівае favorite group smart connect накшталт connect fav us; для favorite выкарыстоўвайце:

panda connect fav

або:

panda connect --node <NODE_ID>

У асноўным падтрымлівае:

Частыя налады:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

openvpn цяпер не рэкамендуецца паказваць як асноўны рэжым у карыстальніцкай дакументацыі.

Рэкамендацыя:

Заўвага: mode proxy узаемна выключаецца з Kill-switch.

mode auto — гэта рэжым па змаўчанні ў новай версіі.

Яго паводзіны:

• API node / smart connect прыярытэтна выбірае runtime паводле meta.protocol;
• Калі рэкамендуецца WireGuard, спачатку будзе паспрабаваны WireGuard;
• Калі метаданыя WireGuard, прызначэнне адраса, запуск runtime, handshake або праверка злучэння завершацца няўдала, адбудзецца вяртанне да PandaVPN global, скампіляванага з SS payload;
• SS, OPENVPN, невядомыя або адсутныя пратаколы будуць выкарыстоўваць PandaVPN global як рэзервовы варыянт;
• mode auto не прымае параметр policy, а атрыманы runtime заўсёды будзе global.

Новым карыстальнікам рэкамендуецца выкарыстоўваць:

panda mode auto
panda connect

direct-region — рэкамендаваны запіс; bypass-region / bypass — сумяшчальныя псеўданімы.

Напрыклад:

panda mode pandavpn direct-region in

Эквівалентна сумяшчальнаму псеўданіму:

panda mode pandavpn bypass-region in

Новая версія падтрымлівае больш поўны сінтаксіс split profile:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Частыя token:

Прыклады:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

У дакументацыі для пачаткоўцаў не рэкамендуецца паказваць доўгія каманды; яны лепш падыходзяць для пашыранай дакументацыі па split.

Праглядзець усе вузлы:

panda node list

Абнавіць і праглядзець зноў:

panda node refresh
panda node list

Кароткі запіс:

panda no re
panda no list

Праглядзець пэўны рэгіён або групу:

panda node list us
panda node list jp
panda node list de

Праглядзець групы вузлоў:

panda node group

Праглядзець дэталі пэўнай групы:

panda node group show us

Спачатку знайдзіце node:

panda node list us

Затым падключыцеся:

panda connect --node 1822

Таксама можна падключыцца па назве:

panda connect --node "US Node"

Кароткі запіс:

panda no list us
panda conn --node 1822

panda connect будзе выкарыстоўваць апошнюю мэту.
Калі гісторыі мэты няма, ён паспрабуе global smart connect.

Для Smart connect патрэбна:

• уваход у акаўнт;
• кэшаваны каталог вузлоў;
• пры неабходнасці спачатку выканайце panda node refresh.

Кароткі запіс:

panda conn

Частыя прычыны:

• вы яшчэ не ўвайшлі ў акаўнт;
• каталог вузлоў не абноўлены;
• у бягучага акаўнта няма даступных вузлоў;
• сетка недаступная;
• daemon не запушчаны;
• бягучы mode несумяшчальны з мэтавым вузлом;
• у mode auto рэкамендаваны пратакол не запусціўся, і fallback таксама не атрымаўся.

Рэкамендуецца праверыць:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Структураваны вывад:

panda status --json

Кароткі запіс:

panda stat

doctor — гэта дыягнастычная каманда толькі для чытання, якая выкарыстоўваецца для прагляду бягучых ключавых станаў Panda CLI.

panda doctor
panda doctor --json

Кароткі запіс:

panda do

Звярніце асаблівую ўвагу на:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace выкарыстоўваецца, каб убачыць, па якім правіле, DNS action і route пойдзе пэўная мэта.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Заўвага: поўныя магчымасці trace патрабуюць active PandaVPN packet runtime. Калі сумяшчальнага runtime няма, магчыма толькі абмежаваная праверка або адкат да legacy trace.

Звычайна гэта адбываецца таму, што ўсталяваны афіцыйны service / LaunchDaemon, а таксама ўручную быў выкананы:

sudo panda start

sudo panda start запускае unmanaged / некіраваны daemon, які можа адначасова з афіцыйным daemon кіраваць:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Прынцып вырашэння: пакіньце толькі адзін daemon.

Звычайная працэдура для macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

У Linux, калі выкарыстоўваецца systemd service, пасля гэтага перазапусціце афіцыйны service:

sudo panda service restart
panda doctor

У macOS, калі ўстаноўка зроблена праз .pkg, звычайна daemon павінен кіравацца LaunchDaemon / helper; не выкарыстоўвайце sudo panda start доўгатэрмінова як штодзённы спосаб запуску.

Калі вы проста хочаце адключыць VPN, выходзіць з daemon не трэба:

panda disconnect
panda kill-switch off

Калі сапраўды трэба спыніць daemon:

sudo panda stop

Праверка:

panda status

Калі паказваецца panda daemon unavailable, гэта значыць, што асноўны daemon спынены.

Заўвага: LaunchDaemon / helper, усталяваны праз macOS .pkg, можа кіравацца сістэмай; звычайным карыстальнікам не рэкамендуецца часта ўручную спыняць службу.

panda log
panda log --lines 200
panda log --all

Ачыстка logs:

panda log clear

Часова ўключыць debug:

panda log level debug dns,tcp --ttl 10m

Аднавіць стандартныя налады:

panda log level reset

У сцэнары no-tunnel IPv6 можа быць block для awdl0 / llw0, з-за чаго AirDrop / Continuity часова недаступныя.
Звычайна пасля disconnect усё аднаўляецца.

Калі праблема застаецца, рэкамендуецца:

panda disconnect
panda kill-switch off
panda repair
panda doctor

У падтрымліваемых версіях гэта можна наладзіць:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Тлумачэнне:

• Па змаўчанні рэкамендуецца auto;
• Пасля змены hot reconnect не будзе;
• Каб налада пачала дзейнічаць для новага TCP socket, патрэбны reconnect;
• Для node, якія не падтрымліваюць TFO, не павінна быць прыкметнага пагаршэння затрымкі злучэння.

Калі ў бягучай версіі няма гэтага пункта канфігурацыі, арыентуйцеся на panda config --help або фактычны CLI help.

Privacy mode можна разумець як больш строгі рэжым бяспекі; рэкамендуецца лічыць яго эквівалентным:

panda mode pandavpn global
panda kill-switch on

Або пры стандартным аўтаматычным выбары пратаколу:

panda mode auto
panda kill-switch on

У Privacy mode рэкамендуюцца наступныя абмежаванні:

• proxy mode не падтрымліваецца;
• split mode не падтрымліваецца;
• Дазваляецца толькі семантыка VPN global;
• Kill-switch павінен быць уключаны;
• Звычайны egress блакуецца.

panda repair больш комплексны і можа выправіць:

• VPN route
• DNS snapshot
• Kill-switch guard
• станы, звязаныя з system proxy

panda proxy repair у асноўным выпраўляе system proxy drift бягучага карыстальніка.

panda repair
panda proxy repair

Пры Fresh install па змаўчанні выкарыстоўваецца proxy system-proxy on.
Калі карыстальнік відавочна захаваў off, гэтая канфігурацыя будзе захавана.

Паглядзець або задаць:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Заўвага: у mode auto, pandavpn і wireguard VPN runtime ігнаруе захаваныя перавагі system proxy; VPN companion proxy па-ранейшаму даступны і выкарыстоўвае scoped egress.

Windows system proxy — гэта налада HKCU WinINET для бягучага карыстальніка, і ёй патрэбны per-user user-agent.
Калі вы знаходзіцеся ў SSH або неінтэрактыўнай сесіі, proxy repair не заўсёды можа аўтаматычна запусціць user-agent.

Рэкамендуецца:

panda proxy status
panda proxy repair
panda doctor

Калі ўсё яшчэ не працуе, паспрабуйце яшчэ раз у сесіі ўваходу на працоўны стол.

Linux Phase 1 у асноўным падтрымлівае GNOME gsettings.
Асяроддзі KDE / XFCE і падобныя могуць паказвацца як unsupported.

Гэта не абавязкова ўплывае на PandaVPN packet runtime, але можа паўплываць на досвед system proxy mode.

Сэнс Kill-switch у тым, што дазваляецца толькі трафік праз TUN, а іншы звычайны трафік блакіруецца.

proxy mode — гэта standalone рэжым лакальнага proxy без packet VPN / TUN і без эквівалентнай абароны DNS і маршрутызацыі. Таму Kill-switch не падтрымлівае standalone proxy mode.

Калі патрэбны Kill-switch, выкарыстоўвайце:

panda mode auto
panda kill-switch on

Або:

panda mode pandavpn global
panda kill-switch on

Або:

panda mode wireguard
panda kill-switch on

Не.

Auto-connect у асноўным ахоплівае best-effort connect пры запуску daemon / service, а таксама pending retry, калі пры запуску сетка часова недаступная.

Уключыць:

panda config auto-connect on

Выключыць:

panda config auto-connect off

Гэта не агульны механізм аўтаматычнага перападключэння падчас runtime.

Split rules выкарыстоўваюцца, каб задаць, што пэўныя дамены, ключавыя словы, regex або IP ідуць праз proxy, direct або block.

Файлы правілаў:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Частыя каманды:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Бягучае вядомае абмежаванне: пасля login pending auto-connect, які чакае паўторнай спробы, аўтаматычна не wake.

Пасля login рэкамендуецца ўручную выканаць:

panda connect

Звычайна не трэба. Змены канфігурацыі Split DNS hot-load.

Частыя каманды:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Калі платформа не падтрымлівае некаторыя крыніцы local DNS, doctor выдасць warning.

У новых версіях Windows Kill-switch быў абноўлены з daemon-held dynamic session да persistent WFP filters.
Гэта азначае, што guard можа застацца пасля аварыйнага выхаду daemon.

Але persistent WFP не тое самае, што boot-time filter; вельмі ранняе акно запуску ўсё яшчэ адносіцца да наступнага hardening.

Сэнс Kill-switch у тым, што дазваляецца толькі трафік праз TUN, а іншы звычайны трафік блакіруецца.

proxy mode — гэта standalone рэжым лакальнага proxy без packet VPN / TUN і без эквівалентнай абароны DNS і маршрутызацыі. Таму Kill-switch не падтрымлівае standalone proxy mode.

Калі патрэбны Kill-switch, выкарыстоўвайце:

panda mode auto
panda kill-switch on

Або:

panda mode pandavpn global
panda kill-switch on

Або:

panda mode wireguard
panda kill-switch on

Так.

mode auto + kill-switch on дазволены, але канчатковы шлях павінен абавязкова resolve да PandaVPN / WireGuard і не павінен трапляць у standalone proxy. Калі падчас падключэння адбываецца fallback з WireGuard на PandaVPN, guard active таксама павінен захоўвацца, і не павінна з’яўляцца fail-open window.

Рэкамендуецца:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Не рэкамендуецца.

Kill-switch — гэта опцыя ўзмоцненай абароны прыватнасці, і яе не варта ўключаць у самы кароткі працоўны шлях. Прычыны:

• disconnect не адключае Kill-switch;
• Пасля ўключэння звычайная сетка можа быць заблакіравана;
• Таксама гэта звязана з доступам да LAN, DNS lockdown, firewall і адрозненнямі дазволаў платформы;
• Новыя карыстальнікі могуць памылкова падумаць, што сетка зламалася.

Новым карыстальнікам рэкамендуецца спачатку выканаць:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Пасля пацверджання, што падключэнне працуе нармальна, уключайце пры патрэбе:

panda kill-switch on
panda doctor

Не.

Гэта чаканыя паводзіны. Kill-switch — гэта пастаянны пераключальнік бяспекі, а disconnect толькі адключае бягучы runtime і не выключае Kill-switch аўтаматычна.

Каб аднавіць звычайны доступ да сеткі, трэба выканаць:

panda kill-switch off

У строгім рэжыме Kill-switch блакіруе звычайны трафік LAN / WAN.
Версіі з падтрымкай allow-lan могуць уключыць абмежаваны доступ да LAN:

panda kill-switch allow-lan on

Адключыць дазвол LAN:

panda kill-switch allow-lan off

Заўвага: allow-lan дазваляе private network / link-local / ULA unicast і v1 discovery, але LAN DNS усё яшчэ павінен блакіравацца, каб пазбегнуць абыходу Panda DNS lockdown.