FAQ PandaVPN CLI

Panda CLI est le client en ligne de commande de Panda et permet d’effectuer les opérations suivantes depuis le terminal :

• Connexion et gestion du compte
• Actualisation des nœuds et connexion aux nœuds
• Basculement entre les modes PandaVPN / Proxy / WireGuard / Auto
• Configuration du proxy système
• Règles Split rules pour la répartition du trafic
• Configuration de Split DNS
• Protection Kill-switch
• Auto-connect
• Journaux et diagnostics

Il convient aux utilisateurs de tests internes, aux développeurs, aux utilisateurs avancés et aux scénarios de test nécessitant des opérations scriptées.

PandaVPN CLI est mieux adapté aux tests automatisés, au dépannage à distance et aux connexions pilotées par des scripts.

Panda Desktop et PandaVPN CLI sont deux interfaces de contrôle du même PandaVPN daemon et partagent le même état de connexion. Ils peuvent donc être utilisés ensemble.

N’exécutez pas d’anciennes applications de bureau, telles que Panda-Qt ou l’ancien Linux AppImage, en même temps que PandaVPN CLI, car cela peut entraîner des conflits de configuration réseau.

Certaines capacités nécessitent des autorisations au niveau du système, par exemple :

• Créer des interfaces réseau TUN / WireGuard
• Modifier le DNS
• Configurer le proxy système
• Appliquer le Kill-switch
• Réparer les routes
• Gérer le packet VPN runtime

Le CLI exécute donc ces opérations via le daemon / service correspondant à la plateforme.

Formes de daemon selon les plateformes :

La différence principale est la suivante : sous Windows et macOS, le service est généralement installé automatiquement via le paquet d’installation, tandis que sous Linux, l’utilisateur doit généralement exécuter manuellement sudo panda service install.

Sous Windows, vous ne devez exécuter la commande suivante dans PowerShell en tant qu’administrateur que si vous n’utilisez pas le paquet d’installation et placez manuellement le binaire :

panda service install windows

Sous macOS, cela n’est nécessaire qu’en développement et débogage, si vous n’utilisez pas le paquet d’installation .pkg, ou si le daemon ne démarre pas automatiquement :

sudo panda start

Sous Linux, nous recommandons :

sudo panda service install
panda service status

Oui, elles sont identiques. La différence principale réside dans l’architecture du package d’installation téléchargé.

Les étapes d’installation, les commandes et la méthode de gestion du service sont identiques. Le programme d’installation élèvera automatiquement les privilèges et enregistrera Windows Service.

Oui, elles sont identiques. La principale différence concerne l’architecture du paquet .pkg téléchargé.

Les étapes d’installation sont identiques. Après l’installation avec .pkg, LaunchDaemon / helper est généralement installé et lancé automatiquement.

Pour les utilisateurs du monde entier, nous recommandons d’utiliser mode auto par défaut :

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Si une nouvelle installation utilise déjà mode auto par défaut, vous pouvez aussi utiliser une version plus simple :

panda login
panda node refresh
panda connect
panda doctor

Version abrégée correspondante :

panda login
panda no re
panda conn
panda do

La page officielle de téléchargement et le guide de démarrage devraient afficher en priorité les commandes complètes ; les raccourcis peuvent être présentés ensuite dans la documentation avancée ou les explications du mode interactif.

gfwlist est une source spécifique de règles de split routing et ne convient pas comme mode par défaut pour les utilisateurs du monde entier.

Pour les utilisateurs mondiaux, le mode par défaut recommandé est :

panda mode auto

Ou utilisez de façon fixe le mode global de PandaVPN :

panda mode pandavpn global

gfwlist peut rester dans la documentation avancée de split routing, mais il n’est pas recommandé de l’afficher sur le premier écran du site officiel, dans le Hero de la page de téléchargement ou dans le guide de démarrage rapide pour débutants.

Il est recommandé de se déconnecter d’abord et de désactiver Kill-switch :

panda disconnect
panda kill-switch off

S’il s’agit d’une mise à niveau manuelle ou d’une mise à niveau du Linux service, il est recommandé d’arrêter aussi le daemon :

sudo panda stop

Lors de la mise à niveau de macOS et Windows avec un installateur, celui-ci gère généralement automatiquement l’installation et le redémarrage du service. Une fois la mise à niveau terminée, il est recommandé d’exécuter :

panda version
panda doctor
panda connect

Après une mise à niveau manuelle sous Linux, il est recommandé de faire :

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Indique un bare group selector : aucun VIP / SVIP / FREE tab n’est fixé, et l’API choisit le tab approprié.

panda connect svip us

Indique l’utilisation fixe de us sous le SVIP tab.

La forme avec deux-points est équivalente et adaptée aux scripts :

panda connect svip:us

Le favorite tab est actuellement une flat favorite channel list et ne prend pas en charge le favorite group smart connect comme connect fav us ; pour les favorite, utilisez :

panda connect fav

ou :

panda connect --node <NODE_ID>

Prend principalement en charge :

Paramètres courants :

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

Il n’est actuellement pas recommandé de présenter openvpn comme mode principal dans la documentation utilisateur.

Recommandation :

Remarque : mode proxy et Kill-switch sont mutuellement exclusifs.

mode auto est le nouveau mode par défaut.

Son comportement est le suivant :

• API node / smart connect choisit en priorité le runtime selon meta.protocol ;
• Si WireGuard est recommandé, WireGuard sera essayé en premier ;
• Si les métadonnées WireGuard, l’attribution d’adresse, le démarrage du runtime, le handshake ou le test de connectivité échouent, il revient à PandaVPN global compilé depuis le SS payload ;
• SS, OPENVPN ainsi que les protocoles inconnus ou manquants utilisent PandaVPN global comme solution de secours ;
• mode auto n’accepte pas de paramètre policy, et le runtime résolu est toujours global.

Recommandé pour les nouveaux utilisateurs :

panda mode auto
panda connect

direct-region est la syntaxe recommandée ; bypass-region / bypass sont des alias de compatibilité.

Par exemple :

panda mode pandavpn direct-region in

Équivaut à l’alias de compatibilité :

panda mode pandavpn bypass-region in

La nouvelle version prend en charge une syntaxe split profile plus complète :

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Tokens courants :

Exemples :

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

Il n’est pas recommandé d’afficher les commandes longues dans la documentation pour débutants ; elles conviennent mieux à la documentation split avancée.

Afficher tous les nœuds :

panda node list

Actualiser puis afficher à nouveau :

panda node refresh
panda node list

Forme courte :

panda no re
panda no list

Afficher une région ou un groupe spécifique :

panda node list us
panda node list jp
panda node list de

Afficher les groupes de nœuds :

panda node group

Afficher les détails d’un groupe spécifique :

panda node group show us

Recherchez d’abord le node :

panda node list us

Puis connectez-vous :

panda connect --node 1822

Vous pouvez aussi vous connecter par nom :

panda connect --node "US Node"

Forme abrégée :

panda no list us
panda conn --node 1822

panda connect utilise la dernière cible.
S’il n’existe aucune cible précédente, il tente global smart connect.

Smart connect nécessite :

• d’être connecté ;
• que le répertoire des nœuds soit mis en cache ;
• si nécessaire, exécutez d’abord panda node refresh.

Forme courte :

panda conn

Causes fréquentes :

• vous n’êtes pas encore connecté ;
• le répertoire des nœuds n’a pas été actualisé ;
• le compte actuel n’a aucun nœud disponible ;
• le réseau est indisponible ;
• le daemon ne fonctionne pas ;
• le mode actuel est incompatible avec le nœud cible ;
• en mode auto, le protocole recommandé n’a pas pu démarrer et le fallback a également échoué.

Vérifications recommandées :

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Sortie structurée :

panda status --json

Forme abrégée :

panda stat

doctor est une commande de diagnostic en lecture seule, utilisée pour afficher les états clés actuels de Panda CLI.

panda doctor
panda doctor --json

Forme courte :

panda do

À surveiller en priorité :

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace sert à voir quelle règle, DNS action et route un objectif utilisera.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Remarque : la capacité trace complète nécessite active PandaVPN packet runtime. Sans runtime compatible, seule une validation limitée est possible, ou un retour à legacy trace.

Cela se produit généralement parce que le service / LaunchDaemon officiel est installé, et que vous avez aussi exécuté manuellement :

sudo panda start

sudo panda start démarre un daemon unmanaged / non géré, qui peut gérer en même temps que le daemon officiel :

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Le principe de traitement est : ne conserver qu’un seul daemon.

Traitement courant sous macOS / Linux :

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

Sous Linux, si vous utilisez systemd service, redémarrez ensuite le service officiel :

sudo panda service restart
panda doctor

Sous macOS, si l’installation utilise .pkg, laissez généralement LaunchDaemon / helper gérer le daemon, et n’utilisez pas sudo panda start à long terme comme méthode de démarrage quotidienne.

Si vous voulez seulement déconnecter le VPN, il n’est pas nécessaire de quitter le daemon :

panda disconnect
panda kill-switch off

Si vous voulez vraiment arrêter le daemon :

sudo panda stop

Confirmer :

panda status

Si panda daemon unavailable s’affiche, cela signifie que le daemon principal est arrêté.

Remarque : le LaunchDaemon / helper installé par le .pkg macOS peut être géré par le système ; il n’est pas conseillé aux utilisateurs ordinaires d’arrêter fréquemment le service manuellement.

panda log
panda log --lines 200
panda log --all

Nettoyer les logs :

panda log clear

Activer temporairement debug :

panda log level debug dns,tcp --ttl 10m

Restaurer la valeur par défaut :

panda log level reset

Dans un scénario no-tunnel IPv6, awdl0 / llw0 peuvent être block, ce qui rend AirDrop / Continuity temporairement indisponibles.
En général, cela se rétablit après disconnect.

Si le problème persiste, recommandé :

panda disconnect
panda kill-switch off
panda repair
panda doctor

Les versions prises en charge peuvent configurer ceci :

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Explications :

• La valeur recommandée par défaut est auto ;
• La modification ne déclenchera pas de hot reconnect ;
• Un reconnect est nécessaire pour que cela prenne effet sur les nouveaux TCP socket ;
• Les nodes qui ne prennent pas en charge TFO ne devraient pas montrer de régression notable de la latence de connexion.

Si la version actuelle ne propose pas cette option de configuration, référez-vous à panda config --help ou à l’aide CLI réelle.

Privacy mode peut être compris comme un mode de sécurité plus strict, recommandé comme équivalent à :

panda mode pandavpn global
panda kill-switch on

Ou, avec la sélection automatique du protocole par défaut :

panda mode auto
panda kill-switch on

En Privacy mode, les restrictions suivantes sont recommandées :

• Ne prend pas en charge proxy mode ;
• Ne prend pas en charge split mode ;
• Autorise uniquement la sémantique VPN global ;
• Kill-switch doit être activé ;
• L’egress normal est bloqué.

panda repair est plus complet et peut réparer :

• VPN route
• DNS snapshot
• Kill-switch guard
• l’état lié au system proxy

panda proxy repair répare principalement le system proxy drift de l’utilisateur actuel.

panda repair
panda proxy repair

Lors d’une Fresh install, la valeur par défaut est proxy system-proxy on.
Si l’utilisateur a explicitement enregistré off, cette configuration sera conservée.

Afficher ou définir :

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Remarque : en mode auto, pandavpn et wireguard, le VPN runtime ignore la préférence system proxy persistée ; le VPN companion proxy reste disponible et utilise scoped egress.

Le Windows system proxy est un paramètre HKCU WinINET de l’utilisateur actuel et nécessite un per-user user-agent.
Si vous êtes dans une session SSH ou non interactive, proxy repair ne peut pas toujours démarrer automatiquement le user-agent.

Recommandé :

panda proxy status
panda proxy repair
panda doctor

Si cela ne prend toujours pas effet, réessayez dans une session de connexion au bureau.

Linux Phase 1 prend principalement en charge GNOME gsettings.
Les environnements comme KDE / XFCE peuvent s’afficher comme unsupported.

Cela n’affecte pas nécessairement PandaVPN packet runtime, mais peut affecter l’expérience du system proxy mode.

Le principe de Kill-switch est d’autoriser uniquement le trafic qui passe par TUN, tandis que tout autre trafic normal est bloqué.

proxy mode est un mode proxy local standalone. Il ne dispose pas de packet VPN / TUN et n’offre pas de protection DNS ni de routage équivalente. Kill-switch ne prend donc pas en charge standalone proxy mode.

Lorsque vous avez besoin de Kill-switch, utilisez :

panda mode auto
panda kill-switch on

Ou :

panda mode pandavpn global
panda kill-switch on

Ou :

panda mode wireguard
panda kill-switch on

Non.

Auto-connect couvre principalement le best-effort connect au démarrage du daemon / service, ainsi que le pending retry lorsque le réseau est temporairement indisponible au démarrage.

Activer :

panda config auto-connect on

Désactiver :

panda config auto-connect off

Ce n’est pas un mécanisme général de reconnexion automatique en runtime.

Les Split rules servent à indiquer que certains domaines, mots-clés, regex ou IP passent par proxy, direct ou block.

Fichiers de règles :

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Commandes courantes :

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Limitation actuellement connue : après le login, le pending auto-connect en attente de retry ne sera pas wake automatiquement.

Il est recommandé d’exécuter manuellement après le login :

panda connect

En général, non. Les changements de configuration Split DNS sont appliqués en hot-load.

Commandes courantes :

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Si la plateforme ne prend pas en charge certaines sources local DNS, doctor affichera un warning.

Dans les nouvelles versions, Windows Kill-switch a été mis à niveau de daemon-held dynamic session vers persistent WFP filters.
Cela signifie que le guard peut rester en place après une sortie anormale du daemon.

Cependant, persistent WFP n’est pas équivalent à boot-time filter ; la toute première fenêtre de démarrage reste dans le périmètre du hardening ultérieur.

Le principe de Kill-switch est d’autoriser uniquement le trafic qui passe par TUN, tandis que tout autre trafic normal est bloqué.

proxy mode est un mode proxy local standalone. Il ne dispose pas de packet VPN / TUN et n’offre pas de protection DNS ni de routage équivalente. Kill-switch ne prend donc pas en charge standalone proxy mode.

Lorsque vous avez besoin de Kill-switch, utilisez :

panda mode auto
panda kill-switch on

Ou :

panda mode pandavpn global
panda kill-switch on

Ou :

panda mode wireguard
panda kill-switch on

Oui.

mode auto + kill-switch on est autorisé, mais le chemin final doit se résoudre en PandaVPN / WireGuard et ne doit pas tomber sur standalone proxy. Pendant la connexion, s’il y a un fallback de WireGuard vers PandaVPN, guard active doit également être conservé, et aucune fail-open window ne doit apparaître.

Recommandé :

panda mode auto
panda kill-switch on
panda connect
panda doctor

Ce n’est pas recommandé.

Kill-switch est une option de protection renforcée de la confidentialité, et elle n’est pas adaptée au chemin utilisable le plus court. Raisons :

• disconnect ne désactive pas Kill-switch ;
• Une fois activé, le réseau normal peut être bloqué ;
• Cela implique aussi l’accès LAN, DNS lockdown, le firewall et les différences d’autorisations selon la plateforme ;
• Les nouveaux utilisateurs peuvent croire à tort que le réseau est en panne.

Il est recommandé aux nouveaux utilisateurs de commencer par :

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Après avoir confirmé que la connexion fonctionne normalement, activez-le si nécessaire :

panda kill-switch on
panda doctor

Non.

C’est le comportement attendu. Kill-switch est un interrupteur de sécurité persistant, et disconnect ne déconnecte que le runtime actuel ; il ne désactive pas automatiquement Kill-switch.

Pour rétablir l’accès réseau normal, exécutez :

panda kill-switch off

En mode strict, Kill-switch bloque le trafic LAN / WAN normal.
Les versions qui prennent en charge allow-lan peuvent activer un accès LAN limité :

panda kill-switch allow-lan on

Désactiver l’autorisation LAN :

panda kill-switch allow-lan off

Remarque : allow-lan autorise private network / link-local / ULA unicast et v1 discovery, mais LAN DNS doit rester bloqué afin d’éviter de contourner Panda DNS lockdown.