Časté otázky k PandaVPN CLI

Panda CLI je klient príkazového riadka pre Panda a podporuje vykonávanie nasledujúcich akcií cez terminál:

• Prihlásenie a správa účtu
• Obnovenie uzlov a pripojenie k uzlom
• Prepínanie režimov PandaVPN / Proxy / WireGuard / Auto
• Konfigurácia systémového proxy
• Pravidlá Split rules na rozdelenie prevádzky
• Konfigurácia Split DNS
• Ochrana Kill-switch
• Auto-connect
• Protokoly a diagnostika

Je vhodný pre interných testovacích používateľov, vývojárov, pokročilých používateľov a testovacie scenáre vyžadujúce skriptované operácie.

PandaVPN CLI je vhodnejší na automatizované testovanie, vzdialené riešenie problémov a pripojenia riadené skriptmi.

Panda Desktop a PandaVPN CLI sú dve ovládacie rozhrania pre rovnaký PandaVPN daemon a zdieľajú rovnaký stav pripojenia, takže ich možno používať spoločne.

Nespúšťajte staršie desktopové aplikácie, ako Panda-Qt alebo starý Linux AppImage, súčasne s PandaVPN CLI, pretože to môže spôsobiť konflikty v konfigurácii siete.

Niektoré funkcie vyžadujú oprávnenia na úrovni systému, napríklad:

• Vytváranie sieťových rozhraní TUN / WireGuard
• Úprava DNS
• Nastavenie systémového proxy
• Použitie Kill-switch
• Oprava trás
• Správa packet VPN runtime

CLI preto vykonáva tieto operácie prostredníctvom daemon / service zodpovedajúcej danej platforme.

Formy daemon na rôznych platformách:

Hlavný rozdiel je: V systémoch Windows a macOS sa služba zvyčajne nainštaluje automaticky cez inštalačný balík, zatiaľ čo v Linuxe musí používateľ zvyčajne ručne spustiť sudo panda service install.

V systéme Windows je potrebné spustiť nasledujúci príkaz v PowerShelli ako správca iba vtedy, ak nepoužívate inštalačný balík a binárne súbory umiestňujete ručne:

panda service install windows

V systéme macOS je to potrebné iba pri vývoji a ladení, keď sa nepoužíva inštalačný balík .pkg, alebo keď sa daemon nespustí automaticky:

sudo panda start

V Linuxe odporúčame:

sudo panda service install
panda service status

Áno, sú rovnaké. Rozdiel je hlavne v architektúre stiahnutého inštalačného balíka.

Kroky inštalácie, príkazy aj spôsob správy služby sú rovnaké. Inštalátor automaticky zvýši oprávnenia a zaregistruje Windows Service.

Áno, sú rovnaké. Hlavný rozdiel je v architektúre stiahnutého balíka .pkg.

Kroky inštalácie sú rovnaké. Po inštalácii pomocou .pkg sa LaunchDaemon / helper zvyčajne automaticky nainštaluje a spustí.

Pre globálnych používateľov odporúčame predvolene používať mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Ak nová inštalácia už predvolene používa mode auto, možno použiť aj jednoduchšiu verziu:

panda login
panda node refresh
panda connect
panda doctor

Zodpovedajúca skrátená verzia:

panda login
panda no re
panda conn
panda do

Oficiálna stránka na stiahnutie a úvodná príručka pre začiatočníkov by mali najskôr zobrazovať úplné príkazy; skratky možno uviesť neskôr v pokročilej dokumentácii alebo vo vysvetleniach interaktívneho režimu.

gfwlist je špecifický zdroj pravidiel split a nie je vhodný ako predvolený režim pre globálnych používateľov.

Pre globálnych používateľov sa ako predvolené odporúča:

panda mode auto

Alebo pevne používajte globálny režim PandaVPN:

panda mode pandavpn global

gfwlist môže zostať v dokumentácii k pokročilému split routing, ale neodporúča sa zobrazovať ho na prvej obrazovke oficiálnej stránky, v Hero časti stránky na stiahnutie ani v rýchlom štarte pre začiatočníkov.

Odporúča sa najprv odpojiť a vypnúť Kill-switch:

panda disconnect
panda kill-switch off

Ak ide o manuálnu aktualizáciu alebo aktualizáciu Linux service, odporúča sa zastaviť aj daemon:

sudo panda stop

Pri aktualizácii macOS a Windows pomocou inštalátora inštalátor zvyčajne automaticky spracuje inštaláciu a reštart service. Po dokončení aktualizácie sa odporúča spustiť:

panda version
panda doctor
panda connect

Po manuálnej aktualizácii na Linuxe sa odporúča:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Znamená bare group selector; nefixuje VIP / SVIP / FREE tab a vhodný tab vyberie API.

panda connect svip us

Znamená pevné použitie us v rámci SVIP tab.

Forma s dvojbodkou je ekvivalentná a vhodná pre skripty:

panda connect svip:us

favorite tab je momentálne flat favorite channel list a nepodporuje favorite group smart connect ako connect fav us; pre favorite použite:

panda connect fav

alebo:

panda connect --node <NODE_ID>

Podporuje hlavne:

Časté nastavenia:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

openvpn sa aktuálne neodporúča zobrazovať ako hlavný režim v používateľskej dokumentácii.

Odporúčanie:

Poznámka: mode proxy a Kill-switch sa navzájom vylučujú.

mode auto je predvolený režim v novej verzii.

Jeho správanie je:

• API node / smart connect prioritne vyberá runtime podľa meta.protocol;
• Ak je odporúčaný WireGuard, najskôr sa skúsi WireGuard;
• Ak zlyhajú metadáta WireGuard, pridelenie adresy, spustenie runtime, handshake alebo test konektivity, vráti sa na PandaVPN global skompilovaný zo SS payload;
• SS, OPENVPN a neznáme alebo chýbajúce protokoly použijú PandaVPN global ako fallback;
• mode auto neprijíma parameter policy a vyriešený runtime je vždy global.

Odporúčané pre nových používateľov:

panda mode auto
panda connect

direct-region je odporúčaný zápis; bypass-region / bypass sú kompatibilné aliasy.

Napríklad:

panda mode pandavpn direct-region in

Je ekvivalentom kompatibilného aliasu:

panda mode pandavpn bypass-region in

Nová verzia podporuje úplnejšiu syntax split profile:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Časté tokeny:

Príklady:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

V dokumentácii pre začiatočníkov sa neodporúča zobrazovať dlhé príkazy; sú vhodnejšie pre pokročilú split dokumentáciu.

Zobraziť všetky uzly:

panda node list

Obnoviť a potom zobraziť znova:

panda node refresh
panda node list

Skrátený zápis:

panda no re
panda no list

Zobraziť konkrétny región alebo skupinu:

panda node list us
panda node list jp
panda node list de

Zobraziť skupiny uzlov:

panda node group

Zobraziť podrobnosti konkrétnej skupiny:

panda node group show us

Najprv vyhľadajte node:

panda node list us

Potom sa pripojte:

panda connect --node 1822

Môžete sa pripojiť aj podľa názvu:

panda connect --node "US Node"

Skrátený zápis:

panda no list us
panda conn --node 1822

panda connect použije posledný cieľ.
Ak neexistuje predchádzajúci cieľ, skúsi global smart connect.

Smart connect vyžaduje:

• aby ste boli prihlásení;
• aby bol adresár uzlov uložený v cache;
• v prípade potreby najprv spustite panda node refresh.

Skrátený zápis:

panda conn

Časté príčiny:

• ešte nie ste prihlásení;
• adresár uzlov nebol obnovený;
• aktuálny účet nemá dostupné uzly;
• sieť nie je dostupná;
• daemon nie je spustený;
• aktuálny mode nie je kompatibilný s cieľovým uzlom;
• v mode auto sa odporúčaný protokol nepodarilo spustiť a zlyhal aj fallback.

Odporúčaná kontrola:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Štruktúrovaný výstup:

panda status --json

Skrátený zápis:

panda stat

doctor je diagnostický príkaz iba na čítanie, ktorý slúži na zobrazenie aktuálnych kľúčových stavov Panda CLI.

panda doctor
panda doctor --json

Skrátený zápis:

panda do

Zamerajte sa najmä na:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace slúži na zistenie, aké pravidlo, DNS action a route použije konkrétny cieľ.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Poznámka: úplná funkcia trace vyžaduje active PandaVPN packet runtime. Bez kompatibilného runtime je možná iba obmedzená kontrola alebo fallback na legacy trace.

Zvyčajne sa to stane preto, že je nainštalovaný oficiálny service / LaunchDaemon a zároveň bolo ručne spustené:

sudo panda start

sudo panda start spustí unmanaged / nespravovaný daemon, ktorý môže súčasne s oficiálnym daemon spravovať:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Princíp riešenia je: ponechajte iba jeden daemon.

Bežný postup na macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

V Linuxe, ak používate systemd service, potom reštartujte oficiálnu službu:

sudo panda service restart
panda doctor

V macOS, ak používate inštaláciu cez .pkg, zvyčajne nechajte LaunchDaemon / helper spravovať daemon a nepoužívajte sudo panda start dlhodobo ako každodenný spôsob spúšťania.

Ak chcete iba odpojiť VPN, nemusíte ukončovať daemon:

panda disconnect
panda kill-switch off

Ak naozaj chcete zastaviť daemon:

sudo panda stop

Potvrdenie:

panda status

Ak sa zobrazí panda daemon unavailable, znamená to, že hlavný daemon bol zastavený.

Poznámka: LaunchDaemon / helper nainštalovaný cez macOS .pkg môže byť spravovaný systémom; bežným používateľom sa neodporúča často manuálne zastavovať službu.

panda log
panda log --lines 200
panda log --all

Vyčistiť logs:

panda log clear

Dočasne zapnúť debug:

panda log level debug dns,tcp --ttl 10m

Obnoviť predvolené:

panda log level reset

V scenári no-tunnel IPv6 môžu byť awdl0 / llw0 block, čo spôsobí dočasnú nedostupnosť AirDrop / Continuity.
Zvyčajne sa obnoví po disconnect.

Ak je to stále neobvyklé, odporúča sa:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Podporované verzie to môžu nakonfigurovať:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Vysvetlenie:

• Predvolene sa odporúča auto;
• Po zmene sa nevykoná hot reconnect;
• Na uplatnenie pre nové TCP socket je potrebný reconnect;
• Nodes, ktoré nepodporujú TFO, by nemali vykazovať zjavné zhoršenie latencie pripojenia.

Ak aktuálna verzia túto konfiguračnú voľbu nemá, riaďte sa panda config --help alebo skutočným CLI help.

Privacy mode možno chápať ako prísnejší bezpečnostný režim a odporúča sa považovať ho za ekvivalent:

panda mode pandavpn global
panda kill-switch on

Alebo pri predvolenom automatickom výbere protokolu:

panda mode auto
panda kill-switch on

V Privacy mode sa odporúčajú tieto obmedzenia:

• Nepodporuje proxy mode;
• Nepodporuje split mode;
• Povoľuje iba sémantiku VPN global;
• Kill-switch musí byť zapnutý;
• Bežný egress je blokovaný.

panda repair je komplexnejší a môže opraviť:

• VPN route
• DNS snapshot
• Kill-switch guard
• stavy súvisiace so system proxy

panda proxy repair opravuje hlavne system proxy drift aktuálneho používateľa.

panda repair
panda proxy repair

Pri Fresh install je predvolene nastavené proxy system-proxy on.
Ak používateľ výslovne uložil off, táto konfigurácia sa zachová.

Zobraziť alebo nastaviť:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Poznámka: v mode auto, pandavpn a wireguard VPN runtime ignoruje uloženú preferenciu system proxy; VPN companion proxy zostáva dostupný a používa scoped egress.

Windows system proxy je nastavenie HKCU WinINET aktuálneho používateľa a vyžaduje per-user user-agent.
Ak ste v SSH alebo neinteraktívnej relácii, proxy repair nemusí vždy automaticky spustiť user-agent.

Odporúčané:

panda proxy status
panda proxy repair
panda doctor

Ak sa stále neprejaví, skúste to znova v desktop login session.

Linux Phase 1 podporuje hlavne GNOME gsettings.
Prostredia ako KDE / XFCE sa môžu zobrazovať ako unsupported.

Nemusí to nevyhnutne ovplyvniť PandaVPN packet runtime, ale môže to ovplyvniť skúsenosť so system proxy mode.

Význam Kill-switch je povoliť iba prevádzku cez TUN, zatiaľ čo iná bežná prevádzka sa blokuje.

proxy mode je standalone lokálny proxy režim, bez packet VPN / TUN a bez ekvivalentnej ochrany DNS a routingu. Preto Kill-switch nepodporuje standalone proxy mode.

Keď potrebujete Kill-switch, použite:

panda mode auto
panda kill-switch on

Alebo:

panda mode pandavpn global
panda kill-switch on

Alebo:

panda mode wireguard
panda kill-switch on

Nie.

Auto-connect pokrýva najmä best-effort connect pri spustení daemon / service a tiež pending retry, keď pri štarte dočasne nie je dostupná sieť.

Zapnúť:

panda config auto-connect on

Vypnúť:

panda config auto-connect off

Nie je to všeobecný mechanizmus automatického opätovného pripojenia počas runtime.

Split rules slúžia na určenie, či určité domény, kľúčové slová, regex alebo IP pôjdu cez proxy, direct alebo block.

Súbory pravidiel:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Bežné príkazy:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Aktuálne známe obmedzenie: po login sa pending auto-connect čakajúci na retry automaticky neprebudí.

Po login odporúčame manuálne spustiť:

panda connect

Zvyčajne nie. Zmeny konfigurácie Split DNS sa načítajú cez hot-load.

Bežné príkazy:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Ak platforma nepodporuje niektoré zdroje local DNS, doctor zobrazí warning.

V nových verziách bol Windows Kill-switch aktualizovaný z daemon-held dynamic session na persistent WFP filters.
To znamená, že guard môže zostať zachovaný aj po abnormálnom ukončení daemon.

Persistent WFP však nie je to isté ako boot-time filter; veľmi skoré štartovacie okno stále patrí do budúceho hardening rozsahu.

Význam Kill-switch je povoliť iba prevádzku cez TUN, zatiaľ čo iná bežná prevádzka sa blokuje.

proxy mode je standalone lokálny proxy režim, bez packet VPN / TUN a bez ekvivalentnej ochrany DNS a routingu. Preto Kill-switch nepodporuje standalone proxy mode.

Keď potrebujete Kill-switch, použite:

panda mode auto
panda kill-switch on

Alebo:

panda mode pandavpn global
panda kill-switch on

Alebo:

panda mode wireguard
panda kill-switch on

Áno.

mode auto + kill-switch on je povolené, ale konečná cesta sa musí resolve na PandaVPN / WireGuard a nesmie spadnúť na standalone proxy. Počas pripájania, ak dôjde k fallbacku z WireGuard na PandaVPN, guard active musí zostať zachovaný a nesmie vzniknúť žiadne fail-open window.

Odporúčané:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Neodporúča sa.

Kill-switch je možnosť zvýšenej ochrany súkromia a nehodí sa do najkratšej použiteľnej cesty. Dôvody:

• disconnect nevypne Kill-switch;
• Po zapnutí môže byť bežná sieť zablokovaná;
• Týka sa to aj prístupu LAN, DNS lockdown, firewallu a rozdielov v oprávneniach platforiem;
• Noví používatelia si môžu mylne myslieť, že sieť je pokazená.

Novým používateľom sa odporúča najprv dokončiť:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Po potvrdení, že pripojenie funguje normálne, zapnite podľa potreby:

panda kill-switch on
panda doctor

Nie.

Toto je očakávané správanie. Kill-switch je trvalý bezpečnostný prepínač a disconnect iba odpojí aktuálny runtime; Kill-switch automaticky nevypne.

Ak chcete obnoviť bežný prístup k sieti, spustite:

panda kill-switch off

V prísnom režime Kill-switch blokuje bežnú prevádzku LAN / WAN.
Verzie s podporou allow-lan môžu zapnúť obmedzený prístup k LAN:

panda kill-switch allow-lan on

Vypnutie povolenia LAN:

panda kill-switch allow-lan off

Poznámka: allow-lan povoľuje private network / link-local / ULA unicast a v1 discovery, ale LAN DNS by mal zostať blokovaný, aby sa zabránilo obídeniu Panda DNS lockdown.