Preguntas frecuentes de PandaVPN CLI

Panda CLI es el cliente de línea de comandos de Panda y permite realizar lo siguiente desde el terminal:

• Inicio de sesión y gestión de la cuenta
• Actualización de nodos y conexión a nodos
• Cambio entre los modos PandaVPN / Proxy / WireGuard / Auto
• Configuración del proxy del sistema
• Reglas Split rules para la división del tráfico
• Configuración de Split DNS
• Protección Kill-switch
• Auto-connect
• Registros y diagnósticos

Es adecuado para usuarios de pruebas internas, desarrolladores, usuarios avanzados y escenarios de prueba que requieren operaciones mediante scripts.

PandaVPN CLI es más adecuado para pruebas automatizadas, solución remota de problemas y conexiones mediante scripts.

Panda Desktop y PandaVPN CLI son dos interfaces de control para el mismo PandaVPN daemon y comparten el mismo estado de conexión, por lo que pueden utilizarse conjuntamente.

No ejecutes aplicaciones de escritorio antiguas, como Panda-Qt o el antiguo Linux AppImage, al mismo tiempo que PandaVPN CLI, ya que esto puede provocar conflictos en la configuración de red.

Algunas capacidades requieren permisos a nivel del sistema, por ejemplo:

• Crear interfaces de red TUN / WireGuard
• Modificar DNS
• Configurar el proxy del sistema
• Aplicar el Kill-switch
• Reparar rutas
• Administrar el packet VPN runtime

Por eso, el CLI ejecuta estas operaciones mediante el daemon / service correspondiente a la plataforma.

Formas de daemon en distintas plataformas:

La diferencia principal es: en Windows y macOS, el servicio normalmente se instala automáticamente mediante el paquete de instalación, mientras que en Linux el usuario normalmente debe ejecutar manualmente sudo panda service install.

En Windows, solo si no utilizas el paquete de instalación y colocas manualmente los binarios, debes ejecutar lo siguiente en PowerShell como administrador:

panda service install windows

En macOS, esto solo es necesario durante el desarrollo y la depuración, si no se utiliza el paquete de instalación .pkg, o si el daemon no se inicia automáticamente:

sudo panda start

En Linux se recomienda:

sudo panda service install
panda service status

Sí, son los mismos. La diferencia principal es la arquitectura del paquete de instalación que se descarga.

Los pasos de instalación, los comandos y la forma de administrar el servicio son los mismos. El instalador elevará automáticamente los privilegios y registrará Windows Service.

Sí, son iguales. La diferencia principal es la arquitectura del paquete .pkg descargado.

Los pasos de instalación son los mismos. Después de instalar con .pkg, LaunchDaemon / helper normalmente se instala e inicia automáticamente.

Para usuarios de todo el mundo, recomendamos usar mode auto de forma predeterminada:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Si una instalación nueva ya usa mode auto de forma predeterminada, también puedes usar una versión más simple:

panda login
panda node refresh
panda connect
panda doctor

Versión abreviada correspondiente:

panda login
panda no re
panda conn
panda do

La página oficial de descarga y la guía para principiantes deberían priorizar mostrar los comandos completos; las abreviaturas pueden mostrarse después en la documentación avanzada o en las explicaciones del modo interactivo.

gfwlist es una fuente específica de reglas de división y no es adecuada como modo predeterminado para usuarios globales.

Para usuarios globales, se recomienda por defecto:

panda mode auto

O usar de forma fija el modo global de PandaVPN:

panda mode pandavpn global

gfwlist puede mantenerse en la documentación avanzada de split routing, pero no se recomienda que aparezca en la primera pantalla del sitio web oficial, en el Hero de la página de descarga ni en la guía de inicio rápido para principiantes.

Se recomienda desconectarse primero y desactivar Kill-switch:

panda disconnect
panda kill-switch off

Si es una actualización manual o una actualización de Linux service, también se recomienda detener el daemon:

sudo panda stop

Al actualizar macOS y Windows con un instalador, el instalador normalmente gestiona automáticamente la instalación y el reinicio del service. Después de completar la actualización, se recomienda ejecutar:

panda version
panda doctor
panda connect

Después de una actualización manual en Linux, se recomienda:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Indica un bare group selector: no fija el VIP / SVIP / FREE tab, sino que la API elige el tab adecuado.

panda connect svip us

Indica que se usa de forma fija us bajo el SVIP tab.

La forma con dos puntos es equivalente y adecuada para scripts:

panda connect svip:us

Actualmente, favorite tab es una flat favorite channel list y no admite favorite group smart connect como connect fav us; para favorite, usa:

panda connect fav

o:

panda connect --node <NODE_ID>

Admite principalmente:

Configuraciones comunes:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

Actualmente no se recomienda mostrar openvpn como modo principal en la documentación de usuario.

Recomendación:

Nota: mode proxy y Kill-switch son mutuamente excluyentes.

mode auto es el modo predeterminado de la nueva versión.

Su comportamiento es:

• API node / smart connect elige el runtime con prioridad según meta.protocol;
• Si se recomienda WireGuard, intentará usar WireGuard primero;
• Si fallan los metadatos de WireGuard, la asignación de dirección, el inicio del runtime, el handshake o la prueba de conectividad, volverá a PandaVPN global compilado desde SS payload;
• SS, OPENVPN y los protocolos desconocidos o ausentes usarán PandaVPN global como respaldo;
• mode auto no acepta el parámetro policy, y el runtime resuelto siempre es global.

Recomendado para nuevos usuarios:

panda mode auto
panda connect

direct-region es la sintaxis recomendada; bypass-region / bypass son alias de compatibilidad.

Por ejemplo:

panda mode pandavpn direct-region in

Equivale al alias de compatibilidad:

panda mode pandavpn bypass-region in

La nueva versión admite una sintaxis de split profile más completa:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Tokens comunes:

Ejemplos:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

No se recomienda mostrar comandos largos en la documentación para principiantes; son más adecuados para la documentación avanzada de split.

Ver todos los nodos:

panda node list

Actualizar y volver a ver:

panda node refresh
panda node list

Forma corta:

panda no re
panda no list

Ver una región o grupo específico:

panda node list us
panda node list jp
panda node list de

Ver grupos de nodos:

panda node group

Ver detalles de un grupo específico:

panda node group show us

Primero busca el node:

panda node list us

Luego conéctate:

panda connect --node 1822

También puedes conectarte por nombre:

panda connect --node "US Node"

Forma abreviada:

panda no list us
panda conn --node 1822

panda connect usa el último objetivo.
Si no hay un objetivo anterior, intentará global smart connect.

Smart connect requiere:

• haber iniciado sesión;
• tener el directorio de nodos en caché;
• si es necesario, ejecutar primero panda node refresh.

Forma corta:

panda conn

Motivos comunes:

• todavía no has iniciado sesión;
• el directorio de nodos no se ha actualizado;
• la cuenta actual no tiene nodos disponibles;
• la red no está disponible;
• el daemon no se está ejecutando;
• el mode actual no es compatible con el nodo objetivo;
• en mode auto, el protocolo recomendado no pudo iniciarse y el fallback también falló.

Comprobaciones recomendadas:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Salida estructurada:

panda status --json

Forma abreviada:

panda stat

doctor es un comando de diagnóstico de solo lectura que se usa para ver el estado clave actual de Panda CLI.

panda doctor
panda doctor --json

Forma corta:

panda do

Presta especial atención a:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace se usa para ver qué regla, DNS action y route seguirá un objetivo.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Nota: la capacidad completa de trace requiere active PandaVPN packet runtime. Sin un runtime compatible, solo se puede hacer una validación limitada o volver a legacy trace.

Normalmente ocurre porque se instaló el service / LaunchDaemon oficial y además se ejecutó manualmente:

sudo panda start

sudo panda start inicia un daemon unmanaged / no gestionado, que puede gestionar al mismo tiempo que el daemon oficial:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

El principio de solución es: mantener solo un daemon.

Tratamiento habitual en macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

En Linux, si usas systemd service, reinicia después el servicio oficial:

sudo panda service restart
panda doctor

En macOS, si usas instalación con .pkg, normalmente deja que LaunchDaemon / helper gestione el daemon y no uses sudo panda start a largo plazo como método de inicio diario.

Si solo quieres desconectar la VPN, no necesitas salir del daemon:

panda disconnect
panda kill-switch off

Si realmente quieres detener el daemon:

sudo panda stop

Confirmar:

panda status

Si muestra panda daemon unavailable, significa que el daemon principal se ha detenido.

Nota: El LaunchDaemon / helper instalado mediante macOS .pkg puede estar gestionado por el sistema. No se recomienda que los usuarios normales detengan manualmente el servicio con frecuencia.

panda log
panda log --lines 200
panda log --all

Limpiar logs:

panda log clear

Activar debug temporalmente:

panda log level debug dns,tcp --ttl 10m

Restaurar valores predeterminados:

panda log level reset

En un escenario no-tunnel IPv6, awdl0 / llw0 pueden quedar en block, lo que hace que AirDrop / Continuity no estén disponibles temporalmente.
Normalmente se recupera después de disconnect.

Si sigue siendo anómalo, se recomienda:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Las versiones compatibles pueden configurar esto:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Notas:

• Se recomienda auto como valor predeterminado;
• Cambiarlo no provocará un hot reconnect;
• Se requiere reconnect para que surta efecto en nuevos TCP socket;
• Los nodes que no admiten TFO no deberían mostrar una regresión notable en la latencia de conexión.

Si la versión actual no tiene esta opción de configuración, usa panda config --help o la CLI help real como referencia.

Privacy mode puede entenderse como un modo de seguridad más estricto y se recomienda considerarlo equivalente a:

panda mode pandavpn global
panda kill-switch on

O, con la selección automática de protocolo por defecto:

panda mode auto
panda kill-switch on

En Privacy mode se recomiendan estas restricciones:

• No admite proxy mode;
• No admite split mode;
• Solo permite semántica VPN global;
• Kill-switch debe estar activado;
• El egress normal se bloquea.

panda repair es más completo y puede reparar:

• VPN route
• DNS snapshot
• Kill-switch guard
• estado relacionado con system proxy

panda proxy repair repara principalmente el system proxy drift del usuario actual.

panda repair
panda proxy repair

En una Fresh install, el valor predeterminado es proxy system-proxy on.
Si el usuario guardó explícitamente off, se conservará esa configuración.

Ver o configurar:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Nota: en mode auto, pandavpn y wireguard, el VPN runtime ignora la preferencia persistente de system proxy; el VPN companion proxy sigue disponible y usa scoped egress.

Windows system proxy es la configuración HKCU WinINET del usuario actual y requiere un per-user user-agent.
Si estás en una sesión SSH o no interactiva, proxy repair no siempre podrá iniciar automáticamente el user-agent.

Recomendado:

panda proxy status
panda proxy repair
panda doctor

Si sigue sin surtir efecto, inténtalo de nuevo en una sesión de inicio de sesión de escritorio.

Linux Phase 1 admite principalmente GNOME gsettings.
Entornos como KDE / XFCE pueden aparecer como unsupported.

Esto no afecta necesariamente al PandaVPN packet runtime, pero puede afectar la experiencia del system proxy mode.

La semántica de Kill-switch es permitir tráfico solo a través de TUN, mientras que el resto del tráfico normal queda bloqueado.

proxy mode es un modo de proxy local standalone. No tiene packet VPN / TUN ni ofrece una protección equivalente de DNS y enrutamiento. Por eso Kill-switch no admite standalone proxy mode.

Cuando necesites Kill-switch, usa:

panda mode auto
panda kill-switch on

O:

panda mode pandavpn global
panda kill-switch on

O:

panda mode wireguard
panda kill-switch on

No.

Auto-connect cubre principalmente el best-effort connect cuando se inicia el daemon / service, además del pending retry cuando la red no está disponible temporalmente al iniciar.

Activar:

panda config auto-connect on

Desactivar:

panda config auto-connect off

No es un mecanismo general de reconexión automática en runtime.

Split rules se usan para especificar que ciertos dominios, palabras clave, regex o IP pasen por proxy, direct o block.

Archivos de reglas:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Comandos comunes:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Limitación conocida actual: después del login, el pending auto-connect que espera un reintento no se hará wake automáticamente.

Se recomienda ejecutar manualmente después del login:

panda connect

Normalmente no. Los cambios de configuración de Split DNS se cargan en caliente.

Comandos comunes:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Si la plataforma no admite ciertas fuentes de local DNS, doctor mostrará un warning.

En las versiones nuevas, Windows Kill-switch se ha actualizado de daemon-held dynamic session a persistent WFP filters.
Esto significa que el guard puede mantenerse después de que el daemon salga de forma anómala.

Pero persistent WFP no equivale a boot-time filter; la ventana de arranque muy temprana sigue dentro del alcance de hardening posterior.

La semántica de Kill-switch es permitir tráfico solo a través de TUN, mientras que el resto del tráfico normal queda bloqueado.

proxy mode es un modo de proxy local standalone. No tiene packet VPN / TUN ni ofrece una protección equivalente de DNS y enrutamiento. Por eso Kill-switch no admite standalone proxy mode.

Cuando necesites Kill-switch, usa:

panda mode auto
panda kill-switch on

O:

panda mode pandavpn global
panda kill-switch on

O:

panda mode wireguard
panda kill-switch on

Sí.

mode auto + kill-switch on está permitido, pero la ruta final debe resolve a PandaVPN / WireGuard y no debe caer en standalone proxy. Durante la conexión, si se hace fallback de WireGuard a PandaVPN, también debe mantenerse guard active y no debe aparecer ninguna fail-open window.

Recomendado:

panda mode auto
panda kill-switch on
panda connect
panda doctor

No se recomienda.

Kill-switch es una opción de protección de privacidad reforzada y no es adecuada para el camino utilizable más corto. Motivos:

• disconnect no desactiva Kill-switch;
• Después de activarlo, la red normal puede quedar bloqueada;
• También implica acceso LAN, DNS lockdown, firewall y diferencias de permisos según la plataforma;
• Los usuarios nuevos pueden pensar erróneamente que la red está fallando.

Se recomienda que los usuarios nuevos completen primero:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Después de confirmar que la conexión funciona normalmente, actívalo según sea necesario:

panda kill-switch on
panda doctor

No.

Este es el comportamiento esperado. Kill-switch es un interruptor de seguridad persistente, y disconnect solo desconecta el runtime actual; no desactiva automáticamente Kill-switch.

Si quieres restaurar el acceso normal a la red, debes ejecutar:

panda kill-switch off

En modo estricto, Kill-switch bloquea el tráfico LAN / WAN normal.
Las versiones compatibles con allow-lan pueden activar acceso LAN limitado:

panda kill-switch allow-lan on

Desactivar la autorización de LAN:

panda kill-switch allow-lan off

Nota: allow-lan permite private network / link-local / ULA unicast y v1 discovery, pero LAN DNS debe seguir bloqueado para evitar omitir Panda DNS lockdown.