Perguntas frequentes sobre PandaVPN CLI

Panda CLI é o cliente de linha de comando do Panda e permite realizar o seguinte pelo terminal:

• Login e gerenciamento da conta
• Atualização de nós e conexão com nós
• Alternância entre os modos PandaVPN / Proxy / WireGuard / Auto
• Configuração do proxy do sistema
• Regras Split rules para divisão de tráfego
• Configuração de Split DNS
• Proteção Kill-switch
• Auto-connect
• Logs e diagnósticos

Ele é adequado para usuários de testes internos, desenvolvedores, usuários avançados e cenários de teste que exigem operações por script.

O PandaVPN CLI é mais adequado para testes automatizados, solução de problemas remota e conexões controladas por scripts.

O Panda Desktop e o PandaVPN CLI são duas interfaces de controle do mesmo PandaVPN daemon e compartilham o mesmo estado de conexão, por isso podem ser usados juntos.

Não execute aplicativos desktop antigos, como Panda-Qt ou o antigo Linux AppImage, ao mesmo tempo que o PandaVPN CLI, pois isso pode causar conflitos na configuração de rede.

Alguns recursos exigem permissões em nível de sistema, por exemplo:

• Criar interfaces de rede TUN / WireGuard
• Modificar DNS
• Configurar o proxy do sistema
• Aplicar o Kill-switch
• Reparar rotas
• Gerenciar o packet VPN runtime

Portanto, a CLI executa essas operações por meio do daemon / service correspondente à plataforma.

Formas de daemon em diferentes plataformas:

A principal diferença é: no Windows e no macOS, o serviço geralmente é instalado automaticamente pelo pacote de instalação, enquanto no Linux o usuário normalmente precisa executar manualmente sudo panda service install.

No Windows, somente se você não usar o pacote de instalação e colocar o binário manualmente, será necessário executar no PowerShell como administrador:

panda service install windows

No macOS, isso só é necessário durante desenvolvimento e depuração, quando o pacote de instalação .pkg não é usado, ou quando o daemon não inicia automaticamente:

sudo panda start

No Linux, recomendamos:

sudo panda service install
panda service status

Sim, são iguais. A principal diferença está na arquitetura do pacote de instalação baixado.

As etapas de instalação, os comandos e a forma de gerenciamento do serviço são iguais. O instalador elevará automaticamente os privilégios e registrará o Windows Service.

Sim, são iguais. A principal diferença está na arquitetura do pacote .pkg baixado.

As etapas de instalação são as mesmas. Depois de instalar com .pkg, LaunchDaemon / helper geralmente é instalado e iniciado automaticamente.

Para usuários globais, recomendamos usar mode auto por padrão:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Se uma nova instalação já usa mode auto por padrão, você também pode usar uma versão mais simples:

panda login
panda node refresh
panda connect
panda doctor

Versão abreviada correspondente:

panda login
panda no re
panda conn
panda do

A página oficial de download e o guia para iniciantes devem priorizar a exibição dos comandos completos; as abreviações podem ser mostradas depois na documentação avançada ou nas explicações do modo interativo.

gfwlist é uma fonte específica de regras de divisão e não é adequada como modo padrão para usuários globais.

Para usuários globais, o padrão recomendado é:

panda mode auto

Ou usar de forma fixa o modo global do PandaVPN:

panda mode pandavpn global

gfwlist pode permanecer na documentação avançada de split routing, mas não é recomendado que apareça na primeira tela do site oficial, no Hero da página de download ou no guia de início rápido para iniciantes.

Recomenda-se desconectar primeiro e desativar Kill-switch:

panda disconnect
panda kill-switch off

Se for uma atualização manual ou uma atualização do Linux service, recomenda-se também parar o daemon:

sudo panda stop

Ao atualizar macOS e Windows usando o instalador, o instalador geralmente lida automaticamente com a instalação e reinicialização do service. Após a conclusão da atualização, recomenda-se executar:

panda version
panda doctor
panda connect

Após uma atualização manual no Linux, recomenda-se:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Indica um bare group selector: não fixa o VIP / SVIP / FREE tab, e a API escolhe o tab adequado.

panda connect svip us

Indica o uso fixo de us no SVIP tab.

A forma com dois-pontos é equivalente e adequada para scripts:

panda connect svip:us

O favorite tab atualmente é uma flat favorite channel list e não oferece suporte a favorite group smart connect como connect fav us; para favorite, use:

panda connect fav

ou:

panda connect --node <NODE_ID>

Oferece suporte principalmente a:

Configurações comuns:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

No momento, não é recomendado exibir openvpn como modo principal na documentação do usuário.

Recomendação:

Observação: mode proxy e Kill-switch são mutuamente exclusivos.

mode auto é o modo padrão da nova versão.

Seu comportamento é:

• API node / smart connect escolhe o runtime com prioridade com base em meta.protocol;
• Se WireGuard for recomendado, o WireGuard será tentado primeiro;
• Se os metadados do WireGuard, a alocação de endereço, a inicialização do runtime, o handshake ou a verificação de conectividade falharem, ele volta para PandaVPN global compilado a partir do SS payload;
• SS, OPENVPN e protocolos desconhecidos ou ausentes usarão PandaVPN global como fallback;
• mode auto não aceita parâmetro policy, e o runtime resolvido é sempre global.

Recomendado para novos usuários:

panda mode auto
panda connect

direct-region é a sintaxe recomendada; bypass-region / bypass são aliases de compatibilidade.

Por exemplo:

panda mode pandavpn direct-region in

Equivale ao alias de compatibilidade:

panda mode pandavpn bypass-region in

A nova versão oferece suporte a uma sintaxe de split profile mais completa:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Tokens comuns:

Exemplos:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

Não é recomendado exibir comandos longos na documentação para iniciantes; eles são mais adequados para documentação avançada de split.

Ver todos os nodes:

panda node list

Atualizar e ver novamente:

panda node refresh
panda node list

Forma curta:

panda no re
panda no list

Ver uma região ou grupo específico:

panda node list us
panda node list jp
panda node list de

Ver grupos de nodes:

panda node group

Ver detalhes de um grupo específico:

panda node group show us

Primeiro pesquise o node:

panda node list us

Depois conecte:

panda connect --node 1822

Você também pode conectar por nome:

panda connect --node "US Node"

Forma abreviada:

panda no list us
panda conn --node 1822

panda connect usa o último destino.
Se não houver um destino anterior, tentará global smart connect.

Smart connect requer:

• estar logado;
• o diretório de nodes estar em cache;
• se necessário, execute primeiro panda node refresh.

Forma curta:

panda conn

Motivos comuns:

• você ainda não está logado;
• o diretório de nodes não foi atualizado;
• a conta atual não tem nodes disponíveis;
• a rede está indisponível;
• o daemon não está em execução;
• o mode atual é incompatível com o node de destino;
• em mode auto, o protocolo recomendado falhou ao iniciar e o fallback também falhou.

Verificações recomendadas:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Saída estruturada:

panda status --json

Forma abreviada:

panda stat

doctor é um comando de diagnóstico somente leitura usado para ver os principais status atuais do Panda CLI.

panda doctor
panda doctor --json

Forma curta:

panda do

Foque em:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace é usado para ver qual regra, DNS action e route um destino usará.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Observação: a capacidade completa de trace exige active PandaVPN packet runtime. Sem um runtime compatível, só é possível fazer validação limitada ou fallback para legacy trace.

Isso geralmente acontece porque o service / LaunchDaemon oficial está instalado e você também executou manualmente:

sudo panda start

sudo panda start inicia um daemon unmanaged / não gerenciado, que pode gerenciar ao mesmo tempo que o daemon oficial:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

O princípio de tratamento é: mantenha apenas um daemon.

Tratamento comum no macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

No Linux, se você usa systemd service, reinicie o serviço oficial em seguida:

sudo panda service restart
panda doctor

No macOS, se a instalação foi feita com .pkg, normalmente deixe o LaunchDaemon / helper gerenciar o daemon e não use sudo panda start a longo prazo como método diário de inicialização.

Se você só quer desconectar a VPN, não precisa sair do daemon:

panda disconnect
panda kill-switch off

Se realmente quiser parar o daemon:

sudo panda stop

Confirme:

panda status

Se aparecer panda daemon unavailable, significa que o daemon principal foi parado.

Observação: o LaunchDaemon / helper instalado pelo macOS .pkg pode ser gerenciado pelo sistema; usuários comuns não devem parar o serviço manualmente com frequência.

panda log
panda log --lines 200
panda log --all

Limpar logs:

panda log clear

Ativar debug temporariamente:

panda log level debug dns,tcp --ttl 10m

Restaurar padrão:

panda log level reset

Em um cenário no-tunnel IPv6, awdl0 / llw0 podem ser bloqueados, fazendo com que AirDrop / Continuity fiquem temporariamente indisponíveis.
Normalmente se recupera após disconnect.

Se ainda estiver anormal, recomendado:

panda disconnect
panda kill-switch off
panda repair
panda doctor

As versões compatíveis podem configurar isto:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Explicação:

• O padrão recomendado é auto;
• A alteração não acionará um hot reconnect;
• É necessário reconnect para que tenha efeito em novos TCP socket;
• Nodes que não suportam TFO não devem apresentar regressão perceptível na latência de conexão.

Se a versão atual não tiver esta opção de configuração, siga panda config --help ou a CLI help real.

Privacy mode pode ser entendido como um modo de segurança mais rigoroso, e recomenda-se considerá-lo equivalente a:

panda mode pandavpn global
panda kill-switch on

Ou, com a seleção automática de protocolo padrão:

panda mode auto
panda kill-switch on

No Privacy mode, recomenda-se as seguintes restrições:

• Não oferece suporte a proxy mode;
• Não oferece suporte a split mode;
• Permite apenas semântica VPN global;
• Kill-switch deve estar ativado;
• O egress normal é bloqueado.

panda repair é mais abrangente e pode reparar:

• VPN route
• DNS snapshot
• Kill-switch guard
• estado relacionado ao system proxy

panda proxy repair repara principalmente o system proxy drift do usuário atual.

panda repair
panda proxy repair

Em uma Fresh install, o padrão é proxy system-proxy on.
Se o usuário salvou explicitamente off, essa configuração será preservada.

Ver ou configurar:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Observação: em mode auto, pandavpn e wireguard, o VPN runtime ignora a preferência persistida de system proxy; o VPN companion proxy continua disponível e usa scoped egress.

O Windows system proxy é uma configuração HKCU WinINET do usuário atual e requer um per-user user-agent.
Se você estiver em uma sessão SSH ou não interativa, proxy repair talvez não consiga iniciar automaticamente o user-agent.

Recomendado:

panda proxy status
panda proxy repair
panda doctor

Se ainda não surtir efeito, tente novamente em uma sessão de login na área de trabalho.

Linux Phase 1 oferece suporte principalmente a GNOME gsettings.
Ambientes como KDE / XFCE podem aparecer como unsupported.

Isso não afeta necessariamente o PandaVPN packet runtime, mas pode afetar a experiência do system proxy mode.

O significado de Kill-switch é permitir tráfego apenas pelo TUN, enquanto outros tráfegos normais são bloqueados.

proxy mode é um modo de proxy local standalone, sem packet VPN / TUN e sem proteção equivalente de DNS e roteamento. Por isso, Kill-switch não oferece suporte a standalone proxy mode.

Quando precisar de Kill-switch, use:

panda mode auto
panda kill-switch on

Ou:

panda mode pandavpn global
panda kill-switch on

Ou:

panda mode wireguard
panda kill-switch on

Não.

Auto-connect cobre principalmente o best-effort connect quando o daemon / service inicia, além do pending retry quando a rede fica temporariamente indisponível na inicialização.

Ativar:

panda config auto-connect on

Desativar:

panda config auto-connect off

Ele não é um mecanismo geral de reconexão automática em runtime.

Split rules são usadas para especificar que certos domínios, palavras-chave, regex ou IPs passem por proxy, direct ou block.

Arquivos de regras:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Comandos comuns:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Limitação conhecida atual: após o login, o pending auto-connect aguardando retry não será despertado automaticamente.

Após o login, recomenda-se executar manualmente:

panda connect

Normalmente não. As alterações de configuração do Split DNS são carregadas via hot-load.

Comandos comuns:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Se a plataforma não oferecer suporte a certas fontes de local DNS, doctor mostrará um warning.

Nas versões novas, o Windows Kill-switch foi atualizado de daemon-held dynamic session para persistent WFP filters.
Isso significa que o guard pode permanecer após uma saída anormal do daemon.

Mas persistent WFP não é o mesmo que boot-time filter; a janela de inicialização muito precoce ainda faz parte do escopo de hardening futuro.

O significado de Kill-switch é permitir tráfego apenas pelo TUN, enquanto outros tráfegos normais são bloqueados.

proxy mode é um modo de proxy local standalone, sem packet VPN / TUN e sem proteção equivalente de DNS e roteamento. Por isso, Kill-switch não oferece suporte a standalone proxy mode.

Quando precisar de Kill-switch, use:

panda mode auto
panda kill-switch on

Ou:

panda mode pandavpn global
panda kill-switch on

Ou:

panda mode wireguard
panda kill-switch on

Sim.

mode auto + kill-switch on é permitido, mas o caminho final deve resolver para PandaVPN / WireGuard e não pode cair em standalone proxy. Durante a conexão, se houver fallback de WireGuard para PandaVPN, também é necessário manter guard active, sem qualquer fail-open window.

Recomendado:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Não é recomendado.

Kill-switch é uma opção de proteção de privacidade reforçada e não é adequada para o caminho utilizável mais curto. Motivos:

• disconnect não desativa Kill-switch;
• Depois de ativado, a rede normal pode ser bloqueada;
• Também envolve acesso LAN, DNS lockdown, firewall e diferenças de permissões da plataforma;
• Novos usuários podem achar por engano que a rede quebrou.

Recomenda-se que novos usuários concluam primeiro:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Depois de confirmar que a conexão funciona normalmente, ative conforme necessário:

panda kill-switch on
panda doctor

Não.

Esse é o comportamento esperado. Kill-switch é um interruptor de segurança persistente, e disconnect apenas desconecta o runtime atual; ele não desativa automaticamente o Kill-switch.

Para restaurar o acesso normal à rede, execute:

panda kill-switch off

No modo estrito, o Kill-switch bloqueia o tráfego LAN / WAN normal.
Versões com suporte a allow-lan podem ativar acesso LAN limitado:

panda kill-switch allow-lan on

Desativar a liberação da LAN:

panda kill-switch allow-lan off

Observação: allow-lan permite private network / link-local / ULA unicast e v1 discovery, mas LAN DNS ainda deve ser bloqueado para evitar burlar o Panda DNS lockdown.