Časté dotazy k PandaVPN CLI

Panda CLI je klient příkazového řádku pro Panda a podporuje provádění následujících akcí přes terminál:

• Přihlášení a správa účtu
• Obnovení uzlů a připojení k uzlům
• Přepínání režimů PandaVPN / Proxy / WireGuard / Auto
• Konfigurace systémového proxy
• Pravidla Split rules pro rozdělení provozu
• Konfigurace Split DNS
• Ochrana Kill-switch
• Auto-connect
• Protokoly a diagnostika

Je vhodný pro interní testovací uživatele, vývojáře, pokročilé uživatele a testovací scénáře vyžadující skriptované operace.

PandaVPN CLI je vhodnější pro automatizované testování, vzdálené řešení problémů a připojení řízená skripty.

Panda Desktop a PandaVPN CLI jsou dvě ovládací rozhraní pro stejný PandaVPN daemon a sdílejí stejný stav připojení, takže je lze používat společně.

Nespouštějte starší desktopové aplikace, například Panda-Qt nebo starý Linux AppImage, současně s PandaVPN CLI, protože to může způsobit konflikty v konfiguraci sítě.

Některé funkce vyžadují oprávnění na úrovni systému, například:

• Vytváření síťových rozhraní TUN / WireGuard
• Úprava DNS
• Nastavení systémového proxy
• Použití Kill-switch
• Oprava tras
• Správa packet VPN runtime

CLI proto tyto operace provádí prostřednictvím daemon / service odpovídající dané platformě.

Formy daemon na různých platformách:

Hlavní rozdíl je: Ve Windows a macOS se služba obvykle instaluje automaticky pomocí instalačního balíčku, zatímco v Linuxu musí uživatel obvykle ručně spustit sudo panda service install.

Ve Windows je nutné spustit následující příkaz v PowerShellu jako správce pouze tehdy, když nepoužíváte instalační balíček a binární soubory umisťujete ručně:

panda service install windows

V macOS je to potřeba pouze při vývoji a ladění, pokud nepoužíváte instalační balíček .pkg, nebo když se daemon nespustí automaticky:

sudo panda start

Pro Linux se doporučuje:

sudo panda service install
panda service status

Ano, jsou stejné. Rozdíl je hlavně v architektuře staženého instalačního balíčku.

Kroky instalace, příkazy i způsob správy služby jsou stejné. Instalační balíček automaticky zvýší oprávnění a zaregistruje Windows Service.

Ano, jsou stejné. Hlavní rozdíl je v architektuře staženého balíčku .pkg.

Kroky instalace jsou stejné. Po instalaci pomocí .pkg se LaunchDaemon / helper obvykle automaticky nainstaluje a spustí.

Pro globální uživatele doporučujeme ve výchozím nastavení používat mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Pokud je při nové instalaci již výchozí mode auto, lze použít i jednodušší variantu:

panda login
panda node refresh
panda connect
panda doctor

Odpovídající zkrácená verze:

panda login
panda no re
panda conn
panda do

Na oficiální stránce ke stažení a v průvodci pro začátečníky doporučujeme nejprve zobrazovat úplné příkazy; zkratky pak uvádět v pokročilé dokumentaci nebo ve vysvětlení interaktivního režimu.

gfwlist je specifický zdroj pravidel pro rozdělení provozu a není vhodný jako výchozí režim pro globální uživatele.

Pro globální uživatele se jako výchozí doporučuje:

panda mode auto

Nebo pevně používat globální režim PandaVPN:

panda mode pandavpn global

gfwlist lze ponechat v dokumentaci k pokročilému rozdělení provozu, ale nedoporučuje se zobrazovat jej na úvodní obrazovce oficiálního webu, v Hero sekci stránky pro stažení ani v rychlém startu pro začátečníky.

Doporučuje se nejprve se odpojit a vypnout Kill-switch:

panda disconnect
panda kill-switch off

Pokud jde o ruční upgrade nebo upgrade Linux service, doporučuje se také zastavit daemon:

sudo panda stop

Při upgradu macOS a Windows pomocí instalátoru instalátor obvykle automaticky zajistí instalaci service a restart. Po dokončení upgradu doporučujeme spustit:

panda version
panda doctor
panda connect

Po ručním upgradu na Linuxu doporučujeme:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Znamená bare group selector; nefixuje VIP / SVIP / FREE tab a vhodný tab vybere API.

panda connect svip us

Znamená pevné použití us v rámci SVIP tab.

Forma s dvojtečkou je ekvivalentní a vhodná pro skripty:

panda connect svip:us

favorite tab je aktuálně flat favorite channel list a nepodporuje favorite group smart connect typu connect fav us; pro favorite použijte:

panda connect fav

nebo:

panda connect --node <NODE_ID>

Hlavně podporuje:

Běžná nastavení:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

openvpn se aktuálně nedoporučuje zobrazovat jako hlavní režim v uživatelské dokumentaci.

Doporučení:

Poznámka: mode proxy se vzájemně vylučuje s Kill-switch.

mode auto je výchozí režim nové verze.

Chová se takto:

• API node / smart connect přednostně vybírá runtime podle meta.protocol;
• Pokud je doporučen WireGuard, nejdříve se zkusí WireGuard;
• Pokud selžou metadata WireGuard, přidělení adresy, spuštění runtime, handshake nebo test konektivity, vrátí se na PandaVPN global sestavený z SS payload;
• SS, OPENVPN a neznámé nebo chybějící protokoly použijí jako zálohu PandaVPN global;
• mode auto nepřijímá parametr policy a vyřešený runtime je vždy global.

Novým uživatelům doporučujeme používat:

panda mode auto
panda connect

direct-region je doporučený zápis; bypass-region / bypass jsou kompatibilní aliasy.

Například:

panda mode pandavpn direct-region in

Je ekvivalentní kompatibilnímu aliasu:

panda mode pandavpn bypass-region in

Nová verze podporuje úplnější zápis split profile:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Běžné tokeny:

Příklady:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

V dokumentaci pro začátečníky se nedoporučuje zobrazovat dlouhé příkazy; hodí se do pokročilé dokumentace pro split.

Zobrazit všechny uzly:

panda node list

Po obnovení zobrazit znovu:

panda node refresh
panda node list

Zkrácený zápis:

panda no re
panda no list

Zobrazit konkrétní region nebo skupinu:

panda node list us
panda node list jp
panda node list de

Zobrazit skupiny uzlů:

panda node group

Zobrazit podrobnosti konkrétní skupiny:

panda node group show us

Nejprve vyhledejte node:

panda node list us

Poté se připojte:

panda connect --node 1822

Můžete se také připojit podle názvu:

panda connect --node "US Node"

Zkrácený zápis:

panda no list us
panda conn --node 1822

panda connect použije poslední cíl.
Pokud žádný historický cíl neexistuje, zkusí global smart connect.

Smart connect vyžaduje:

• abyste byli přihlášeni;
• aby byl adresář uzlů uložen v mezipaměti;
• v případě potřeby nejprve spusťte panda node refresh.

Zkrácený zápis:

panda conn

Běžné příčiny:

• nejste přihlášeni;
• adresář uzlů nebyl obnoven;
• aktuální účet nemá žádné dostupné uzly;
• síť není dostupná;
• daemon neběží;
• aktuální mode není kompatibilní s cílovým uzlem;
• v mode auto se nepodařilo spustit doporučený protokol a selhal i fallback.

Doporučená diagnostika:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Strukturovaný výstup:

panda status --json

Zkrácený zápis:

panda stat

doctor je diagnostický příkaz jen pro čtení, který slouží k zobrazení aktuálních klíčových stavů Panda CLI.

panda doctor
panda doctor --json

Zkrácený zápis:

panda do

Zaměřte se hlavně na:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace slouží ke zjištění, jaké pravidlo, DNS action a route použije konkrétní cíl.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Poznámka: plná funkce trace vyžaduje active PandaVPN packet runtime. Bez kompatibilního runtime lze provést pouze omezenou kontrolu nebo přejít zpět na legacy trace.

Obvykle je to proto, že byl nainstalován oficiální service / LaunchDaemon a zároveň byl ručně spuštěn:

sudo panda start

sudo panda start spustí unmanaged / nespravovaný daemon, který může současně s oficiálním daemon spravovat:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Princip řešení je: ponechte pouze jeden daemon.

Běžný postup pro macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

V Linuxu, pokud používáte systemd service, poté restartujte oficiální službu:

sudo panda service restart
panda doctor

V macOS, pokud používáte instalaci přes .pkg, obvykle nechte daemon spravovat LaunchDaemon / helper a nepoužívejte dlouhodobě sudo panda start jako každodenní způsob spuštění.

Pokud chcete pouze odpojit VPN, není potřeba daemon ukončovat:

panda disconnect
panda kill-switch off

Pokud opravdu chcete daemon zastavit:

sudo panda stop

Ověření:

panda status

Pokud se zobrazí panda daemon unavailable, znamená to, že hlavní daemon byl zastaven.

Poznámka: LaunchDaemon / helper nainstalovaný přes macOS .pkg může být spravován systémem; běžným uživatelům se nedoporučuje službu často ručně zastavovat.

panda log
panda log --lines 200
panda log --all

Vymazání logs:

panda log clear

Dočasné zapnutí debug:

panda log level debug dns,tcp --ttl 10m

Obnovení výchozího nastavení:

panda log level reset

Ve scénáři no-tunnel IPv6 může dojít k block pro awdl0 / llw0, což způsobí dočasnou nedostupnost AirDrop / Continuity.
Obvykle se obnoví po disconnect.

Pokud problém přetrvává, doporučuje se:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Podporované verze to mohou nakonfigurovat:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Vysvětlení:

• Ve výchozím nastavení se doporučuje auto;
• Po změně neproběhne hot reconnect;
• Aby se nastavení projevilo na novém TCP socket, je potřeba reconnect;
• U node, které TFO nepodporují, by nemělo dojít k viditelnému zhoršení latence připojení.

Pokud aktuální verze tuto konfigurační položku nemá, řiďte se panda config --help nebo skutečnou CLI help.

Privacy mode lze chápat jako přísnější bezpečnostní režim a doporučuje se považovat jej za ekvivalent:

panda mode pandavpn global
panda kill-switch on

Nebo při výchozím automatickém výběru protokolu:

panda mode auto
panda kill-switch on

V Privacy mode se doporučují tato omezení:

• Nepodporuje proxy mode;
• Nepodporuje split mode;
• Povoluje pouze sémantiku VPN global;
• Kill-switch musí být zapnutý;
• Běžný egress je blokován.

panda repair je komplexnější a může opravit:

• VPN route
• DNS snapshot
• Kill-switch guard
• stavy související se system proxy

panda proxy repair opravuje hlavně system proxy drift aktuálního uživatele.

panda repair
panda proxy repair

Při Fresh install je výchozí nastavení proxy system-proxy on.
Pokud uživatel výslovně uložil off, tato konfigurace se zachová.

Zobrazit nebo nastavit:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Poznámka: v mode auto, pandavpn a wireguard bude VPN runtime ignorovat uloženou preferenci system proxy; VPN companion proxy zůstává dostupný a používá scoped egress.

Windows system proxy je nastavení HKCU WinINET aktuálního uživatele a vyžaduje per-user user-agent.
Pokud jste v SSH nebo neinteraktivní relaci, proxy repair nemusí vždy automaticky spustit user-agent.

Doporučeno:

panda proxy status
panda proxy repair
panda doctor

Pokud to stále nefunguje, zkuste to znovu v desktop login session.

Linux Phase 1 podporuje hlavně GNOME gsettings.
Prostředí jako KDE / XFCE se mohou zobrazovat jako unsupported.

Nemusí to nutně ovlivnit PandaVPN packet runtime, ale může to ovlivnit zkušenost se system proxy mode.

Význam Kill-switch je povolit pouze provoz přes TUN a ostatní běžný provoz blokovat.

proxy mode je standalone režim místního proxy, bez packet VPN / TUN a bez ekvivalentní ochrany DNS a routingu. Proto Kill-switch nepodporuje standalone proxy mode.

Když potřebujete Kill-switch, použijte:

panda mode auto
panda kill-switch on

Nebo:

panda mode pandavpn global
panda kill-switch on

Nebo:

panda mode wireguard
panda kill-switch on

Ne.

Auto-connect pokrývá hlavně best-effort connect při spuštění daemon / service a také pending retry, když při spuštění dočasně není dostupná síť.

Zapnout:

panda config auto-connect on

Vypnout:

panda config auto-connect off

Není to obecný mechanismus automatického opětovného připojení za runtime.

Split rules slouží k určení, zda určité domény, klíčová slova, regex nebo IP půjdou přes proxy, direct nebo block.

Soubory pravidel:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Běžné příkazy:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Aktuální známé omezení: po login se pending auto-connect čekající na opakování automaticky neprobudí.

Po login doporučujeme ručně spustit:

panda connect

Obvykle není potřeba. Změny konfigurace Split DNS se hot-load.

Běžné příkazy:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Pokud platforma nepodporuje některé zdroje local DNS, doctor zobrazí warning.

V nových verzích byl Windows Kill-switch upgradován z daemon-held dynamic session na persistent WFP filters.
To znamená, že guard může zůstat zachován i po abnormálním ukončení daemon.

Persistent WFP však není totéž co boot-time filter; velmi rané startovací okno stále spadá do následného hardening.

Význam Kill-switch je povolit pouze provoz přes TUN a ostatní běžný provoz blokovat.

proxy mode je standalone režim místního proxy, bez packet VPN / TUN a bez ekvivalentní ochrany DNS a routingu. Proto Kill-switch nepodporuje standalone proxy mode.

Když potřebujete Kill-switch, použijte:

panda mode auto
panda kill-switch on

Nebo:

panda mode pandavpn global
panda kill-switch on

Nebo:

panda mode wireguard
panda kill-switch on

Ano.

mode auto + kill-switch on je povoleno, ale výsledná cesta se musí resolve na PandaVPN / WireGuard a nesmí skončit jako standalone proxy. Pokud během připojování dojde k fallbacku z WireGuard na PandaVPN, guard active musí zůstat zachován a nesmí vzniknout žádné fail-open window.

Doporučeno:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Nedoporučuje se.

Kill-switch je volba pro zvýšení ochrany soukromí a nehodí se do nejkratší použitelné cesty. Důvody jsou:

• disconnect Kill-switch nevypne;
• Po zapnutí může být běžná síť zablokována;
• Souvisí také s přístupem k LAN, DNS lockdown, firewallem a rozdíly v oprávněních platforem;
• Noví uživatelé si mohou mylně myslet, že je síť rozbitá.

Novým uživatelům se doporučuje nejprve dokončit:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Po potvrzení, že připojení funguje normálně, jej podle potřeby zapněte:

panda kill-switch on
panda doctor

Ne.

Toto je očekávané chování. Kill-switch je trvalý bezpečnostní přepínač a disconnect pouze odpojí aktuální runtime; Kill-switch automaticky nevypne.

Pokud chcete obnovit běžný přístup k síti, musíte spustit:

panda kill-switch off

V přísném režimu Kill-switch blokuje běžný provoz LAN / WAN.
Verze s podporou allow-lan mohou zapnout omezený přístup k LAN:

panda kill-switch allow-lan on

Vypnutí povolení LAN:

panda kill-switch allow-lan off

Poznámka: allow-lan povoluje private network / link-local / ULA unicast a v1 discovery, ale LAN DNS by měl být stále blokován, aby nedošlo k obejití Panda DNS lockdown.