PandaVPN CLI FAQs

Panda CLI ist der Befehlszeilen-Client von Panda und unterstützt über das Terminal Folgendes:

• Anmeldung und Kontoverwaltung
• Aktualisierung von Knoten und Verbindung zu Knoten
• Wechsel zwischen den Modi PandaVPN / Proxy / WireGuard / Auto
• Konfiguration des System-Proxys
• Split rules für die Datenverkehrsaufteilung
• Konfiguration von Split DNS
• Kill-switch-Schutz
• Auto-connect
• Protokolle und Diagnose

Er eignet sich für interne Testnutzer, Entwickler, fortgeschrittene Nutzer und Testszenarien, die skriptbasierte Abläufe erfordern.

PandaVPN CLI eignet sich besser für automatisierte Tests, Remote-Fehlerbehebung und skriptgesteuerte Verbindungen.

Panda Desktop und PandaVPN CLI sind zwei Steuerungsoberflächen für denselben PandaVPN daemon und teilen denselben Verbindungsstatus, sodass sie gemeinsam verwendet werden können.

Führen Sie ältere Desktop-Apps wie Panda-Qt oder das alte Linux AppImage nicht gleichzeitig mit PandaVPN CLI aus, da dies zu Konflikten bei der Netzwerkkonfiguration führen kann.

Einige Funktionen erfordern Berechtigungen auf Systemebene, zum Beispiel:

• Erstellen von TUN / WireGuard-Netzwerkschnittstellen
• Ändern von DNS
• Einrichten des Systemproxys
• Anwenden des Kill-switch
• Reparieren von Routen
• Verwalten der packet VPN runtime

Daher führt die CLI diese Vorgänge über den plattformspezifischen daemon / service aus.

Daemon-Formen auf verschiedenen Plattformen:

Der wichtigste Unterschied ist: Unter Windows und macOS wird der Dienst normalerweise automatisch über das Installationspaket installiert, während Nutzer unter Linux in der Regel sudo panda service install manuell ausführen müssen.

Unter Windows ist die Ausführung in PowerShell als Administrator nur erforderlich, wenn kein Installationspaket verwendet wird und die Binärdateien manuell abgelegt werden:

panda service install windows

Unter macOS ist dies nur bei Entwicklung und Debugging, ohne .pkg-Installationspaket oder wenn der daemon nicht automatisch startet, erforderlich:

sudo panda start

Für Linux wird empfohlen:

sudo panda service install
panda service status

Ja, sie sind gleich. Der Unterschied liegt hauptsächlich in der Architektur des heruntergeladenen Installationspakets.

Installationsschritte, Befehle und die Art der Dienstverwaltung sind identisch. Das Installationspaket erhöht automatisch die Berechtigungen und registriert Windows Service.

Ja, sie sind gleich. Der Hauptunterschied liegt in der Architektur des heruntergeladenen .pkg-Pakets.

Die Installationsschritte sind identisch. Nach der Installation mit .pkg wird LaunchDaemon / helper normalerweise automatisch installiert und gestartet.

Für Nutzer weltweit empfehlen wir standardmäßig die Verwendung von mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Wenn eine Neuinstallation bereits standardmäßig mode auto verwendet, kann auch die kürzere Variante genutzt werden:

panda login
panda node refresh
panda connect
panda doctor

Die entsprechende Kurzform:

panda login
panda no re
panda conn
panda do

Auf der offiziellen Downloadseite und im Einsteigerleitfaden sollten zuerst die vollständigen Befehle angezeigt werden; Kurzformen können anschließend in der erweiterten Dokumentation oder in Erläuterungen zum interaktiven Modus gezeigt werden.

gfwlist ist eine spezielle Quelle für Split-Regeln und eignet sich nicht als Standardmodus für Nutzer weltweit.

Für globale Nutzer wird standardmäßig empfohlen:

panda mode auto

Oder den globalen PandaVPN-Modus fest verwenden:

panda mode pandavpn global

gfwlist kann in der Dokumentation für erweitertes Split-Routing beibehalten werden, sollte aber nicht im ersten sichtbaren Bereich der offiziellen Website, im Hero-Bereich der Downloadseite oder im Schnellstart für Anfänger erscheinen.

Es wird empfohlen, zuerst die Verbindung zu trennen und Kill-switch auszuschalten:

panda disconnect
panda kill-switch off

Bei einem manuellen Upgrade oder einem Upgrade des Linux service wird außerdem empfohlen, den daemon zu stoppen:

sudo panda stop

Beim Upgrade von macOS und Windows mit einem Installer übernimmt der Installer normalerweise automatisch die Installation und den Neustart des service. Nach Abschluss des Upgrades wird empfohlen, Folgendes auszuführen:

panda version
panda doctor
panda connect

Nach einem manuellen Upgrade unter Linux wird empfohlen:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Bedeutet einen bare group selector; es wird kein VIP / SVIP / FREE tab festgelegt, sondern die API wählt den passenden tab.

panda connect svip us

Bedeutet, dass us im SVIP tab fest verwendet wird.

Die Doppelpunktform ist äquivalent und für Skripte geeignet:

panda connect svip:us

favorite tab ist derzeit eine flat favorite channel list und unterstützt kein favorite group smart connect wie connect fav us; für favorite verwenden Sie:

panda connect fav

oder:

panda connect --node <NODE_ID>

Unterstützt hauptsächlich:

Häufige Einstellungen:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

openvpn wird derzeit nicht empfohlen, in der Benutzerdokumentation als Hauptmodus angezeigt zu werden.

Empfehlung:

Hinweis: mode proxy und Kill-switch schließen sich gegenseitig aus.

mode auto ist der neue Standardmodus.

Das Verhalten ist:

• API node / smart connect wählt den runtime bevorzugt anhand von meta.protocol aus;
• Wenn WireGuard empfohlen wird, wird zuerst WireGuard versucht;
• Wenn WireGuard-Metadaten, Adresszuweisung, runtime-Start, handshake oder Konnektivitätsprüfung fehlschlagen, wird auf PandaVPN global zurückgefallen, das aus SS payload kompiliert wurde;
• SS, OPENVPN sowie unbekannte oder fehlende Protokolle verwenden PandaVPN global als Fallback;
• mode auto akzeptiert keinen policy-Parameter, und der aufgelöste runtime ist immer global.

Für neue Nutzer empfohlen:

panda mode auto
panda connect

direct-region ist die empfohlene Schreibweise; bypass-region / bypass sind kompatible Aliasse.

Zum Beispiel:

panda mode pandavpn direct-region in

Entspricht dem kompatiblen Alias:

panda mode pandavpn bypass-region in

Die neue Version unterstützt eine vollständigere split profile-Syntax:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Häufige Token:

Beispiele:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

In der Einsteigerdokumentation wird nicht empfohlen, lange Befehle anzuzeigen; sie eignen sich besser für fortgeschrittene split-Dokumentation.

Alle Nodes anzeigen:

panda node list

Nach dem Aktualisieren erneut anzeigen:

panda node refresh
panda node list

Kurzform:

panda no re
panda no list

Einen bestimmten Bereich oder eine Gruppe anzeigen:

panda node list us
panda node list jp
panda node list de

Node-Gruppen anzeigen:

panda node group

Details einer bestimmten Gruppe anzeigen:

panda node group show us

Suchen Sie zuerst nach dem node:

panda node list us

Verbinden Sie sich dann:

panda connect --node 1822

Sie können sich auch nach Namen verbinden:

panda connect --node "US Node"

Kurzform:

panda no list us
panda conn --node 1822

panda connect verwendet das letzte Ziel.
Wenn kein vorheriges Ziel vorhanden ist, wird global smart connect versucht.

Smart connect benötigt:

• Sie sind angemeldet;
• das Node-Verzeichnis ist zwischengespeichert;
• führen Sie bei Bedarf zuerst panda node refresh aus.

Kurzform:

panda conn

Häufige Ursachen:

• Sie sind noch nicht angemeldet;
• das Node-Verzeichnis wurde nicht aktualisiert;
• das aktuelle Konto hat keine verfügbaren Nodes;
• das Netzwerk ist nicht verfügbar;
• der daemon läuft nicht;
• der aktuelle mode ist nicht mit dem Ziel-Node kompatibel;
• unter mode auto konnte das empfohlene Protokoll nicht gestartet werden, und fallback ist ebenfalls fehlgeschlagen.

Empfohlene Prüfung:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Strukturierte Ausgabe:

panda status --json

Kurzform:

panda stat

doctor ist ein schreibgeschützter Diagnosebefehl, mit dem die aktuellen Schlüsselzustände von Panda CLI angezeigt werden.

panda doctor
panda doctor --json

Kurzform:

panda do

Achten Sie besonders auf:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace wird verwendet, um zu sehen, welche Regel, DNS action und route ein bestimmtes Ziel verwenden wird.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Hinweis: Die vollständige trace-Funktion erfordert active PandaVPN packet runtime. Ohne kompatible runtime ist nur eine eingeschränkte Prüfung oder ein Rückfall auf legacy trace möglich.

Das passiert normalerweise, wenn der offizielle service / LaunchDaemon installiert ist und zusätzlich manuell ausgeführt wurde:

sudo panda start

sudo panda start startet einen unmanaged / nicht verwalteten daemon, der möglicherweise gleichzeitig mit dem offiziellen daemon Folgendes verwaltet:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Das Lösungsprinzip lautet: nur einen daemon behalten.

Übliche Vorgehensweise unter macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

Unter Linux, wenn Sie systemd service verwenden, starten Sie anschließend den offiziellen Dienst neu:

sudo panda service restart
panda doctor

Unter macOS, wenn die Installation über .pkg erfolgt, sollte normalerweise LaunchDaemon / helper den daemon verwalten. Verwenden Sie sudo panda start nicht langfristig als tägliche Startmethode.

Wenn Sie nur die VPN-Verbindung trennen möchten, müssen Sie daemon nicht beenden:

panda disconnect
panda kill-switch off

Wenn Sie daemon tatsächlich stoppen möchten:

sudo panda stop

Bestätigen:

panda status

Wenn panda daemon unavailable angezeigt wird, bedeutet das, dass der Haupt-daemon gestoppt wurde.

Hinweis: Der über macOS .pkg installierte LaunchDaemon / helper kann vom System verwaltet werden; normalen Benutzern wird nicht empfohlen, den Dienst häufig manuell zu stoppen.

panda log
panda log --lines 200
panda log --all

Logs bereinigen:

panda log clear

Debug vorübergehend aktivieren:

panda log level debug dns,tcp --ttl 10m

Standard wiederherstellen:

panda log level reset

In einem no-tunnel IPv6-Szenario kann awdl0 / llw0 blockiert werden, wodurch AirDrop / Continuity vorübergehend nicht verfügbar sind.
Normalerweise wird dies nach disconnect wiederhergestellt.

Wenn es weiterhin ungewöhnlich bleibt, wird empfohlen:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Unterstützte Versionen können dies konfigurieren:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Hinweise:

• Standardmäßig wird auto empfohlen;
• Nach der Änderung erfolgt kein hot reconnect;
• Ein reconnect ist erforderlich, damit die Änderung für neue TCP socket gilt;
• Bei Nodes ohne TFO-Unterstützung sollte keine deutliche Verschlechterung der Verbindungslatenz auftreten.

Wenn die aktuelle Version diese Konfigurationsoption nicht enthält, gilt panda config --help oder die tatsächliche CLI help.

Privacy mode kann als strengerer Sicherheitsmodus verstanden werden und wird empfohlen als äquivalent zu:

panda mode pandavpn global
panda kill-switch on

Oder bei standardmäßiger automatischer Protokollauswahl:

panda mode auto
panda kill-switch on

Für Privacy mode werden folgende Einschränkungen empfohlen:

• proxy mode wird nicht unterstützt;
• split mode wird nicht unterstützt;
• Nur VPN global-Semantik ist erlaubt;
• Kill-switch muss aktiviert sein;
• Normaler egress wird blockiert.

panda repair ist umfassender und kann Folgendes reparieren:

• VPN route
• DNS snapshot
• Kill-switch guard
• system proxy-bezogene Zustände

panda proxy repair repariert hauptsächlich den system proxy drift des aktuellen Benutzers.

panda repair
panda proxy repair

Bei einer Fresh install ist standardmäßig proxy system-proxy on gesetzt.
Wenn der Benutzer ausdrücklich off gespeichert hat, bleibt diese Konfiguration erhalten.

Anzeigen oder festlegen:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Hinweis: Unter mode auto, pandavpn und wireguard ignoriert der VPN runtime die persistierte system proxy-Präferenz; der VPN companion proxy bleibt verfügbar und verwendet scoped egress.

Der Windows system proxy ist eine HKCU WinINET-Einstellung des aktuellen Benutzers und erfordert einen per-user user-agent.
Wenn Sie sich in einer SSH- oder nicht interaktiven Sitzung befinden, kann proxy repair den user-agent möglicherweise nicht automatisch starten.

Empfohlen:

panda proxy status
panda proxy repair
panda doctor

Wenn es weiterhin nicht wirkt, versuchen Sie es erneut in einer Desktop-Anmeldesitzung.

Linux Phase 1 unterstützt hauptsächlich GNOME gsettings.
Umgebungen wie KDE / XFCE können als unsupported angezeigt werden.

Das wirkt sich nicht unbedingt auf PandaVPN packet runtime aus, kann aber die Erfahrung im system proxy mode beeinflussen.

Die Semantik von Kill-switch ist, nur Datenverkehr über TUN zuzulassen; anderer normaler Datenverkehr wird blockiert.

proxy mode ist ein standalone lokaler Proxy-Modus ohne packet VPN / TUN und ohne gleichwertigen DNS- und Routing-Schutz. Daher unterstützt Kill-switch keinen standalone proxy mode.

Wenn Kill-switch benötigt wird, verwenden Sie:

panda mode auto
panda kill-switch on

Oder:

panda mode pandavpn global
panda kill-switch on

Oder:

panda mode wireguard
panda kill-switch on

Nein.

Auto-connect deckt hauptsächlich best-effort connect beim Start von daemon / service sowie pending retry ab, wenn beim Start vorübergehend kein Netzwerk verfügbar ist.

Aktivieren:

panda config auto-connect on

Deaktivieren:

panda config auto-connect off

Es ist kein allgemeiner Mechanismus für automatische Wiederverbindung während runtime.

Split rules werden verwendet, um festzulegen, dass bestimmte Domains, Schlüsselwörter, regex oder IPs über proxy, direct oder block laufen.

Regeldateien:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Häufige Befehle:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Aktuelle bekannte Einschränkung: Nach login wird ein auf Retry wartendes pending auto-connect nicht automatisch wake.

Es wird empfohlen, nach login manuell auszuführen:

panda connect

Normalerweise nicht. Änderungen an der Split DNS-Konfiguration werden hot-loaded.

Häufige Befehle:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Wenn die Plattform bestimmte local DNS-Quellen nicht unterstützt, gibt doctor eine warning aus.

In neuen Versionen wurde Windows Kill-switch von einer daemon-held dynamic session auf persistent WFP filters aktualisiert.
Das bedeutet, dass guard nach einem abnormalen Beenden des daemon erhalten bleiben kann.

Persistent WFP ist jedoch nicht dasselbe wie ein boot-time filter; das sehr frühe Startfenster gehört weiterhin zum späteren hardening.

Die Semantik von Kill-switch ist, nur Datenverkehr über TUN zuzulassen; anderer normaler Datenverkehr wird blockiert.

proxy mode ist ein standalone lokaler Proxy-Modus ohne packet VPN / TUN und ohne gleichwertigen DNS- und Routing-Schutz. Daher unterstützt Kill-switch keinen standalone proxy mode.

Wenn Kill-switch benötigt wird, verwenden Sie:

panda mode auto
panda kill-switch on

Oder:

panda mode pandavpn global
panda kill-switch on

Oder:

panda mode wireguard
panda kill-switch on

Ja.

mode auto + kill-switch on ist erlaubt, aber der endgültige Pfad muss zu PandaVPN / WireGuard resolve und darf nicht auf standalone proxy fallen. Wenn während der Verbindung ein Fallback von WireGuard zu PandaVPN erfolgt, muss guard active ebenfalls beibehalten werden, und es darf kein fail-open window entstehen.

Empfohlen:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Nicht empfohlen.

Kill-switch ist eine Option für erweiterten Datenschutz und eignet sich nicht für den kürzesten nutzbaren Pfad. Die Gründe sind:

• disconnect schaltet Kill-switch nicht aus;
• Nach dem Aktivieren kann das normale Netzwerk blockiert werden;
• Es betrifft außerdem LAN-Zugriff, DNS lockdown, Firewall und Unterschiede bei Plattformberechtigungen;
• Neue Nutzer könnten fälschlicherweise denken, dass das Netzwerk defekt ist.

Neuen Nutzern wird empfohlen, zuerst Folgendes abzuschließen:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Nachdem bestätigt wurde, dass die Verbindung normal funktioniert, bei Bedarf aktivieren:

panda kill-switch on
panda doctor

Nein.

Das ist das erwartete Verhalten. Kill-switch ist ein dauerhafter Sicherheitsschalter, und disconnect trennt nur den aktuellen runtime; Kill-switch wird nicht automatisch ausgeschaltet.

Wenn du den normalen Netzwerkzugriff wiederherstellen möchtest, musst du ausführen:

panda kill-switch off

Im strikten Modus blockiert Kill-switch normalen LAN / WAN-Datenverkehr.
Versionen mit allow-lan-Unterstützung können begrenzten LAN-Zugriff aktivieren:

panda kill-switch allow-lan on

LAN-Freigabe deaktivieren:

panda kill-switch allow-lan off

Hinweis: allow-lan erlaubt private network / link-local / ULA unicast und v1 discovery, aber LAN DNS sollte weiterhin blockiert werden, um eine Umgehung von Panda DNS lockdown zu vermeiden.