FAQ PandaVPN CLI

Panda CLI to klient wiersza poleceń Panda, który umożliwia wykonywanie następujących działań w terminalu:

• Logowanie i zarządzanie kontem
• Odświeżanie węzłów i łączenie z węzłami
• Przełączanie między trybami PandaVPN / Proxy / WireGuard / Auto
• Konfiguracja systemowego serwera proxy
• Reguły Split rules do podziału ruchu
• Konfiguracja Split DNS
• Ochrona Kill-switch
• Auto-connect
• Dzienniki i diagnostyka

Jest odpowiedni dla wewnętrznych użytkowników testowych, programistów, zaawansowanych użytkowników oraz scenariuszy testowych wymagających operacji skryptowych.

PandaVPN CLI lepiej nadaje się do testów automatycznych, zdalnego rozwiązywania problemów i połączeń obsługiwanych za pomocą skryptów.

Panda Desktop i PandaVPN CLI to dwa interfejsy sterowania tym samym PandaVPN daemon i współdzielą ten sam stan połączenia, dlatego mogą być używane razem.

Nie uruchamiaj starszych aplikacji desktopowych, takich jak Panda-Qt lub stary Linux AppImage, jednocześnie z PandaVPN CLI, ponieważ może to powodować konflikty konfiguracji sieciowej.

Niektóre funkcje wymagają uprawnień na poziomie systemu, na przykład:

• Tworzenie interfejsów sieciowych TUN / WireGuard
• Modyfikowanie DNS
• Ustawianie systemowego proxy
• Stosowanie Kill-switch
• Naprawianie tras
• Zarządzanie packet VPN runtime

Dlatego CLI wykonuje te operacje za pośrednictwem daemon / service odpowiedniego dla danej platformy.

Formy daemon na różnych platformach:

Podstawowa różnica jest taka: w Windows i macOS usługa jest zwykle instalowana automatycznie przez pakiet instalacyjny, natomiast w Linux użytkownik zwykle musi ręcznie uruchomić sudo panda service install.

W Windows tylko wtedy, gdy nie używasz pakietu instalacyjnego i ręcznie umieszczasz pliki binarne, trzeba uruchomić w PowerShell jako administrator:

panda service install windows

W macOS jest to potrzebne tylko podczas programowania i debugowania, gdy nie używasz pakietu instalacyjnego .pkg, albo gdy daemon nie uruchamia się automatycznie:

sudo panda start

W Linux zalecamy:

sudo panda service install
panda service status

Tak, są takie same. Różnica dotyczy głównie architektury pobieranego pakietu instalacyjnego.

Kroki instalacji, polecenia i sposób zarządzania usługą są takie same. Instalator automatycznie podniesie uprawnienia i zarejestruje Windows Service.

Tak, są takie same. Główna różnica dotyczy architektury pobranego pakietu .pkg.

Kroki instalacji są takie same. Po instalacji za pomocą .pkg, LaunchDaemon / helper zwykle jest instalowany i uruchamiany automatycznie.

Dla użytkowników globalnych zalecamy domyślne używanie mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Jeśli nowa instalacja już domyślnie używa mode auto, można skorzystać także z prostszej wersji:

panda login
panda node refresh
panda connect
panda doctor

Odpowiednia wersja skrócona:

panda login
panda no re
panda conn
panda do

Oficjalna strona pobierania i przewodnik dla początkujących powinny w pierwszej kolejności pokazywać pełne polecenia; skróty można pokazać później w dokumentacji zaawansowanej lub w wyjaśnieniach trybu interaktywnego.

gfwlist jest specyficznym źródłem reguł split i nie nadaje się jako tryb domyślny dla użytkowników globalnych.

Dla użytkowników globalnych domyślnie zalecane jest:

panda mode auto

Albo stałe używanie trybu globalnego PandaVPN:

panda mode pandavpn global

gfwlist można pozostawić w dokumentacji zaawansowanego split routing, ale nie zaleca się umieszczania go na pierwszym ekranie oficjalnej strony, w sekcji Hero strony pobierania ani w szybkim starcie dla początkujących.

Zaleca się najpierw rozłączyć i wyłączyć Kill-switch:

panda disconnect
panda kill-switch off

Jeśli jest to ręczna aktualizacja lub aktualizacja Linux service, zaleca się również zatrzymanie daemon:

sudo panda stop

Podczas aktualizacji macOS i Windows za pomocą instalatora instalator zwykle automatycznie obsługuje instalację i restart service. Po zakończeniu aktualizacji zaleca się uruchomić:

panda version
panda doctor
panda connect

Po ręcznej aktualizacji w Linux zaleca się:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Oznacza bare group selector; nie przypina VIP / SVIP / FREE tab, a API wybiera odpowiedni tab.

panda connect svip us

Oznacza stałe użycie us pod SVIP tab.

Forma z dwukropkiem jest równoważna i nadaje się do skryptów:

panda connect svip:us

favorite tab jest obecnie flat favorite channel list i nie obsługuje favorite group smart connect, takiego jak connect fav us; dla favorite użyj:

panda connect fav

lub:

panda connect --node <NODE_ID>

Obsługuje głównie:

Częste ustawienia:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

Obecnie nie zaleca się prezentowania openvpn jako głównego trybu w dokumentacji użytkownika.

Zalecenie:

Uwaga: mode proxy i Kill-switch wzajemnie się wykluczają.

mode auto to domyślny tryb w nowej wersji.

Jego działanie:

• API node / smart connect wybiera runtime priorytetowo na podstawie meta.protocol;
• Jeśli zalecany jest WireGuard, najpierw zostanie wypróbowany WireGuard;
• Jeśli metadane WireGuard, przydział adresu, uruchomienie runtime, handshake lub sprawdzanie łączności nie powiedzie się, nastąpi powrót do PandaVPN global skompilowanego z SS payload;
• SS, OPENVPN oraz nieznane lub brakujące protokoły użyją PandaVPN global jako fallback;
• mode auto nie przyjmuje parametru policy, a rozwiązany runtime zawsze jest global.

Zalecane dla nowych użytkowników:

panda mode auto
panda connect

direct-region to zalecana składnia; bypass-region / bypass to aliasy zgodności.

Na przykład:

panda mode pandavpn direct-region in

Jest równoważne aliasowi zgodności:

panda mode pandavpn bypass-region in

Nowa wersja obsługuje pełniejszą składnię split profile:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Częste tokeny:

Przykłady:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

Nie zaleca się pokazywania długich poleceń w dokumentacji dla początkujących; lepiej nadają się do zaawansowanej dokumentacji split.

Wyświetl wszystkie węzły:

panda node list

Odśwież, a potem wyświetl ponownie:

panda node refresh
panda node list

Skrócona forma:

panda no re
panda no list

Wyświetl konkretny region lub grupę:

panda node list us
panda node list jp
panda node list de

Wyświetl grupy węzłów:

panda node group

Wyświetl szczegóły konkretnej grupy:

panda node group show us

Najpierw wyszukaj node:

panda node list us

Następnie połącz się:

panda connect --node 1822

Możesz też połączyć się po nazwie:

panda connect --node "US Node"

Forma skrócona:

panda no list us
panda conn --node 1822

panda connect używa ostatniego celu.
Jeśli nie ma poprzedniego celu, spróbuje global smart connect.

Smart connect wymaga:

• zalogowania;
• katalogu węzłów zapisanego w pamięci podręcznej;
• w razie potrzeby najpierw uruchom panda node refresh.

Skrócona forma:

panda conn

Częste przyczyny:

• nie jesteś jeszcze zalogowany;
• katalog węzłów nie został odświeżony;
• bieżące konto nie ma dostępnych węzłów;
• sieć jest niedostępna;
• daemon nie działa;
• bieżący mode jest niezgodny z docelowym węzłem;
• w mode auto zalecany protokół nie uruchomił się, a fallback również się nie powiódł.

Zalecana diagnostyka:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Strukturyzowane wyjście:

panda status --json

Forma skrócona:

panda stat

doctor to diagnostyczne polecenie tylko do odczytu, używane do podglądu bieżących kluczowych stanów Panda CLI.

panda doctor
panda doctor --json

Skrócona forma:

panda do

Zwróć szczególną uwagę na:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace służy do sprawdzenia, której reguły, DNS action i route użyje dany cel.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Uwaga: pełna funkcja trace wymaga active PandaVPN packet runtime. Bez kompatybilnego runtime możliwa jest tylko ograniczona walidacja albo fallback do legacy trace.

Zwykle dzieje się tak, ponieważ zainstalowano oficjalny service / LaunchDaemon, a dodatkowo ręcznie uruchomiono:

sudo panda start

sudo panda start uruchamia unmanaged / niezarządzany daemon, który może jednocześnie z oficjalnym daemon zarządzać:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Zasada postępowania: pozostaw tylko jeden daemon.

Typowe postępowanie na macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

W Linuxie, jeśli używasz systemd service, następnie zrestartuj oficjalny service:

sudo panda service restart
panda doctor

Na macOS, jeśli instalacja odbyła się przez .pkg, zwykle pozwól LaunchDaemon / helper zarządzać daemon i nie używaj długoterminowo sudo panda start jako codziennej metody uruchamiania.

Jeśli chcesz tylko rozłączyć VPN, nie musisz wychodzić z daemon:

panda disconnect
panda kill-switch off

Jeśli naprawdę chcesz zatrzymać daemon:

sudo panda stop

Potwierdź:

panda status

Jeśli wyświetla się panda daemon unavailable, oznacza to, że główny daemon został zatrzymany.

Uwaga: LaunchDaemon / helper zainstalowany przez macOS .pkg może być zarządzany przez system; zwykłym użytkownikom nie zaleca się częstego ręcznego zatrzymywania usługi.

panda log
panda log --lines 200
panda log --all

Wyczyść logs:

panda log clear

Tymczasowo włącz debug:

panda log level debug dns,tcp --ttl 10m

Przywróć domyślne:

panda log level reset

W scenariuszu no-tunnel IPv6 awdl0 / llw0 mogą zostać block, przez co AirDrop / Continuity mogą być tymczasowo niedostępne.
Zwykle wraca do normy po disconnect.

Jeśli nadal występuje problem, zalecane:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Obsługiwane wersje mogą to skonfigurować:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Wyjaśnienie:

• Domyślnie zalecane jest auto;
• Zmiana nie spowoduje hot reconnect;
• Wymagany jest reconnect, aby ustawienie zaczęło działać dla nowych TCP socket;
• Nodes, które nie obsługują TFO, nie powinny wykazywać zauważalnego pogorszenia opóźnienia połączenia.

Jeśli bieżąca wersja nie ma tej opcji konfiguracji, należy kierować się panda config --help albo faktycznym CLI help.

Privacy mode można rozumieć jako bardziej rygorystyczny tryb bezpieczeństwa i zaleca się traktowanie go jako równoważnego z:

panda mode pandavpn global
panda kill-switch on

Albo przy domyślnym automatycznym wyborze protokołu:

panda mode auto
panda kill-switch on

W Privacy mode zalecane są następujące ograniczenia:

• Nie obsługuje proxy mode;
• Nie obsługuje split mode;
• Pozwala tylko na semantykę VPN global;
• Kill-switch musi być włączony;
• Zwykły egress jest blokowany.

panda repair jest bardziej kompleksowe i może naprawić:

• VPN route
• DNS snapshot
• Kill-switch guard
• stan związany z system proxy

panda proxy repair naprawia głównie system proxy drift bieżącego użytkownika.

panda repair
panda proxy repair

Przy Fresh install domyślnie ustawione jest proxy system-proxy on.
Jeśli użytkownik wyraźnie zapisał off, ta konfiguracja zostanie zachowana.

Wyświetl lub ustaw:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Uwaga: w mode auto, pandavpn i wireguard VPN runtime ignoruje utrwaloną preferencję system proxy; VPN companion proxy pozostaje dostępny i używa scoped egress.

Windows system proxy to ustawienie HKCU WinINET bieżącego użytkownika i wymaga per-user user-agent.
Jeśli jesteś w sesji SSH lub nieinteraktywnej, proxy repair nie zawsze może automatycznie uruchomić user-agent.

Zalecane:

panda proxy status
panda proxy repair
panda doctor

Jeśli nadal nie działa, spróbuj ponownie w desktop login session.

Linux Phase 1 obsługuje głównie GNOME gsettings.
Środowiska takie jak KDE / XFCE mogą być wyświetlane jako unsupported.

Nie musi to wpływać na PandaVPN packet runtime, ale może wpływać na doświadczenie system proxy mode.

Znaczenie Kill-switch polega na tym, że dozwolony jest tylko ruch przez TUN, a inny zwykły ruch jest blokowany.

proxy mode to standalone lokalny tryb proxy, bez packet VPN / TUN i bez równoważnej ochrony DNS oraz routingu. Dlatego Kill-switch nie obsługuje standalone proxy mode.

Gdy potrzebujesz Kill-switch, użyj:

panda mode auto
panda kill-switch on

Albo:

panda mode pandavpn global
panda kill-switch on

Albo:

panda mode wireguard
panda kill-switch on

Nie.

Auto-connect obejmuje głównie best-effort connect przy uruchamianiu daemon / service oraz pending retry, gdy podczas startu sieć jest tymczasowo niedostępna.

Włącz:

panda config auto-connect on

Wyłącz:

panda config auto-connect off

Nie jest to ogólny mechanizm automatycznego ponownego połączenia w runtime.

Split rules służą do określenia, czy wybrane domeny, słowa kluczowe, regex lub IP mają przechodzić przez proxy, direct albo block.

Pliki reguł:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Częste polecenia:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Obecnie znane ograniczenie: po login pending auto-connect oczekujący na retry nie zostanie automatycznie wake.

Po login zaleca się ręczne uruchomienie:

panda connect

Zwykle nie. Zmiany konfiguracji Split DNS są ładowane przez hot-load.

Częste polecenia:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Jeśli platforma nie obsługuje niektórych źródeł local DNS, doctor pokaże warning.

W nowych wersjach Windows Kill-switch został zaktualizowany z daemon-held dynamic session do persistent WFP filters.
Oznacza to, że guard może pozostać aktywny po nieprawidłowym zakończeniu daemon.

Persistent WFP nie jest jednak tym samym co boot-time filter; bardzo wczesne okno startowe nadal należy do zakresu przyszłego hardening.

Znaczenie Kill-switch polega na tym, że dozwolony jest tylko ruch przez TUN, a inny zwykły ruch jest blokowany.

proxy mode to standalone lokalny tryb proxy, bez packet VPN / TUN i bez równoważnej ochrony DNS oraz routingu. Dlatego Kill-switch nie obsługuje standalone proxy mode.

Gdy potrzebujesz Kill-switch, użyj:

panda mode auto
panda kill-switch on

Albo:

panda mode pandavpn global
panda kill-switch on

Albo:

panda mode wireguard
panda kill-switch on

Tak.

mode auto + kill-switch on jest dozwolone, ale końcowa ścieżka musi resolve do PandaVPN / WireGuard i nie może spaść do standalone proxy. Podczas łączenia, jeśli nastąpi fallback z WireGuard do PandaVPN, guard active również musi pozostać aktywny i nie może pojawić się żadne fail-open window.

Zalecane:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Nie jest zalecane.

Kill-switch to opcja wzmocnionej ochrony prywatności i nie nadaje się do najkrótszej ścieżki użycia. Powody:

• disconnect nie wyłącza Kill-switch;
• Po włączeniu zwykła sieć może zostać zablokowana;
• Dotyczy to także dostępu LAN, DNS lockdown, firewall oraz różnic w uprawnieniach platform;
• Nowi użytkownicy mogą błędnie uznać, że sieć jest zepsuta.

Nowym użytkownikom zaleca się najpierw wykonać:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Po potwierdzeniu, że połączenie działa normalnie, włącz w razie potrzeby:

panda kill-switch on
panda doctor

Nie.

To jest oczekiwane zachowanie. Kill-switch to trwały przełącznik bezpieczeństwa, a disconnect rozłącza tylko bieżący runtime; nie wyłącza automatycznie Kill-switch.

Aby przywrócić normalny dostęp do sieci, uruchom:

panda kill-switch off

W trybie ścisłym Kill-switch blokuje zwykły ruch LAN / WAN.
Wersje obsługujące allow-lan mogą włączyć ograniczony dostęp LAN:

panda kill-switch allow-lan on

Wyłączenie zezwolenia LAN:

panda kill-switch allow-lan off

Uwaga: allow-lan zezwala na private network / link-local / ULA unicast oraz v1 discovery, ale LAN DNS powinien nadal być blokowany, aby uniknąć obejścia Panda DNS lockdown.