คำถามที่พบบ่อยเกี่ยวกับ PandaVPN CLI

Panda CLI คือไคลเอนต์บรรทัดคำสั่งของ Panda และรองรับการทำงานต่อไปนี้ผ่านเทอร์มินัล:

• เข้าสู่ระบบและจัดการบัญชี
• รีเฟรชโหนดและเชื่อมต่อโหนด
• สลับระหว่างโหมด PandaVPN / Proxy / WireGuard / Auto
• กำหนดค่าพร็อกซีของระบบ
• Split rules สำหรับการแบ่งทราฟฟิก
• กำหนดค่า Split DNS
• การป้องกัน Kill-switch
• Auto-connect
• บันทึกและการวินิจฉัย

เหมาะสำหรับผู้ใช้ทดสอบภายใน นักพัฒนา ผู้ใช้ขั้นสูง และสถานการณ์การทดสอบที่ต้องใช้การทำงานแบบสคริปต์

PandaVPN CLI เหมาะสำหรับการทดสอบอัตโนมัติ การแก้ไขปัญหาระยะไกล และการเชื่อมต่อที่ควบคุมด้วยสคริปต์มากกว่า

Panda Desktop และ PandaVPN CLI เป็นอินเทอร์เฟซควบคุมสองแบบสำหรับ PandaVPN daemon เดียวกัน และใช้สถานะการเชื่อมต่อร่วมกัน จึงสามารถใช้งานร่วมกันได้

อย่าเปิดแอป desktop รุ่นเก่า เช่น Panda-Qt หรือ Linux AppImage รุ่นเก่า พร้อมกับ PandaVPN CLI เนื่องจากอาจทำให้การกำหนดค่าเครือข่ายเกิดความขัดแย้ง

ความสามารถบางอย่างต้องใช้สิทธิ์ระดับระบบ เช่น:

• สร้างอินเทอร์เฟซเครือข่าย TUN / WireGuard
• แก้ไข DNS
• ตั้งค่าพร็อกซีของระบบ
• ใช้ Kill-switch
• ซ่อมแซมเส้นทาง
• จัดการ packet VPN runtime

ดังนั้น CLI จะดำเนินการเหล่านี้ผ่าน daemon / service ที่สอดคล้องกับแพลตฟอร์ม

รูปแบบ daemon บนแพลตฟอร์มต่าง ๆ:

ความแตกต่างหลักคือ: บน Windows และ macOS โดยปกติ service จะถูกติดตั้งโดยอัตโนมัติผ่านแพ็กเกจติดตั้ง ส่วนบน Linux ผู้ใช้มักต้องเรียกใช้ sudo panda service install ด้วยตนเอง

บน Windows เฉพาะกรณีที่ไม่ได้ใช้แพ็กเกจติดตั้งและวางไฟล์ binary ด้วยตนเองเท่านั้น จึงต้องเรียกใช้คำสั่งต่อไปนี้ใน PowerShell แบบผู้ดูแลระบบ:

panda service install windows

บน macOS จำเป็นเฉพาะระหว่าง development และ debugging เมื่อไม่ได้ใช้แพ็กเกจติดตั้ง .pkg หรือเมื่อ daemon ไม่เริ่มทำงานโดยอัตโนมัติ:

sudo panda start

บน Linux แนะนำให้ใช้:

sudo panda service install
panda service status

เหมือนกัน ความแตกต่างหลักคือสถาปัตยกรรมของแพ็กเกจติดตั้งที่ดาวน์โหลด

ขั้นตอนการติดตั้ง คำสั่ง และวิธีจัดการบริการเหมือนกัน แพ็กเกจติดตั้งจะยกระดับสิทธิ์โดยอัตโนมัติและลงทะเบียน Windows Service

เหมือนกัน ความแตกต่างหลักคือสถาปัตยกรรมของแพ็กเกจ .pkg ที่ดาวน์โหลด

ขั้นตอนการติดตั้งเหมือนกัน หลังจากติดตั้งด้วย .pkg โดยปกติ LaunchDaemon / helper จะถูกติดตั้งและเริ่มทำงานโดยอัตโนมัติ

สำหรับผู้ใช้ทั่วโลก ขอแนะนำให้ใช้ mode auto เป็นค่าเริ่มต้น:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

หากการติดตั้งใหม่มีค่าเริ่มต้นเป็น mode auto อยู่แล้ว ก็สามารถใช้เวอร์ชันที่สั้นกว่าได้:

panda login
panda node refresh
panda connect
panda doctor

เวอร์ชันคำสั่งย่อที่สอดคล้องกัน:

panda login
panda no re
panda conn
panda do

หน้าเว็บดาวน์โหลดอย่างเป็นทางการและคู่มือเริ่มต้นควรแสดงคำสั่งแบบเต็มเป็นลำดับแรก ส่วนคำสั่งย่อควรแสดงภายหลังในเอกสารขั้นสูงหรือคำอธิบายโหมดโต้ตอบ

gfwlist เป็นแหล่งที่มาของ split rules เฉพาะแบบหนึ่ง และไม่เหมาะที่จะใช้เป็นโหมดเริ่มต้นสำหรับผู้ใช้ทั่วโลก

สำหรับผู้ใช้ทั่วโลก ค่าเริ่มต้นที่แนะนำคือ:

panda mode auto

หรือใช้โหมด global ของ PandaVPN แบบคงที่:

panda mode pandavpn global

สามารถเก็บ gfwlist ไว้ในเอกสาร advanced split routing ได้ แต่ไม่แนะนำให้แสดงบนหน้าจอแรกของเว็บไซต์ทางการ, Hero ของหน้าดาวน์โหลด หรือ quick start สำหรับผู้เริ่มต้น

แนะนำให้ disconnect ก่อน และปิด Kill-switch:

panda disconnect
panda kill-switch off

หากเป็นการ upgrade แบบ manual หรือ upgrade Linux service แนะนำให้ stop daemon เพิ่มด้วย:

sudo panda stop

เมื่อ upgrade macOS และ Windows ด้วย installer โดยทั่วไป installer จะจัดการติดตั้ง service และ restart ให้อัตโนมัติ หลังจาก upgrade เสร็จ แนะนำให้รัน:

panda version
panda doctor
panda connect

หลังจาก manual upgrade บน Linux แนะนำ:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

หมายถึง bare group selector โดยไม่ล็อก VIP / SVIP / FREE tab และให้ API เลือก tab ที่เหมาะสม

panda connect svip us

หมายถึงการใช้งาน us ภายใต้ SVIP tab แบบคงที่

รูปแบบ colon เทียบเท่ากันและเหมาะสำหรับ scripts:

panda connect svip:us

favorite tab ปัจจุบันเป็น flat favorite channel list และไม่รองรับ favorite group smart connect เช่น connect fav us; สำหรับ favorite ให้ใช้:

panda connect fav

หรือ:

panda connect --node <NODE_ID>

รองรับหลัก ๆ ดังนี้:

การตั้งค่าที่ใช้บ่อย:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

ปัจจุบันไม่แนะนำให้แสดง openvpn เป็นโหมดหลักในเอกสารผู้ใช้

คำแนะนำ:

หมายเหตุ: mode proxy กับ Kill-switch ใช้ร่วมกันไม่ได้

mode auto คือโหมดเริ่มต้นในเวอร์ชันใหม่

พฤติกรรมของโหมดนี้คือ:

• API node / smart connect จะเลือก runtime ตามลำดับความสำคัญจาก meta.protocol;
• หากแนะนำ WireGuard ระบบจะลองใช้ WireGuard ก่อน;
• หาก WireGuard metadata, การจัดสรรที่อยู่, การเริ่มต้น runtime, handshake หรือการตรวจสอบการเชื่อมต่อล้มเหลว ระบบจะ fallback ไปยัง PandaVPN global ที่ compile จาก SS payload;
• SS, OPENVPN, โปรโตคอลที่ไม่รู้จักหรือขาดหายจะใช้ PandaVPN global เป็น fallback;
• mode auto ไม่รับพารามิเตอร์ policy และ runtime ที่ resolve ได้จะเป็น global เสมอ

แนะนำสำหรับผู้ใช้ใหม่:

panda mode auto
panda connect

direct-region คือรูปแบบที่แนะนำ; bypass-region / bypass เป็น alias เพื่อความเข้ากันได้

ตัวอย่าง:

panda mode pandavpn direct-region in

เทียบเท่ากับ alias เพื่อความเข้ากันได้:

panda mode pandavpn bypass-region in

เวอร์ชันใหม่รองรับรูปแบบ split profile ที่สมบูรณ์ยิ่งขึ้น:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

token ที่พบบ่อย:

ตัวอย่าง:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

ไม่แนะนำให้แสดงคำสั่งยาวในเอกสารสำหรับผู้เริ่มต้น เหมาะสำหรับใส่ไว้ในเอกสาร split ขั้นสูงมากกว่า

ดู node ทั้งหมด:

panda node list

Refresh แล้วดูอีกครั้ง:

panda node refresh
panda node list

รูปแบบสั้น:

panda no re
panda no list

ดู region หรือ group ที่ระบุ:

panda node list us
panda node list jp
panda node list de

ดู node groups:

panda node group

ดูรายละเอียดของ group ที่ระบุ:

panda node group show us

ค้นหา node ก่อน:

panda node list us

จากนั้นเชื่อมต่อ:

panda connect --node 1822

คุณยังสามารถเชื่อมต่อตามชื่อได้:

panda connect --node "US Node"

คำสั่งแบบย่อ:

panda no list us
panda conn --node 1822

panda connect จะใช้ target ล่าสุด
หากไม่มี target ก่อนหน้า จะลองใช้ global smart connect

Smart connect ต้องมี:

• เข้าสู่ระบบแล้ว;
• node directory ถูก cache ไว้แล้ว;
• หากจำเป็น ให้รัน panda node refresh ก่อน

รูปแบบสั้น:

panda conn

สาเหตุที่พบบ่อย:

• ยังไม่ได้เข้าสู่ระบบ;
• node directory ยังไม่ได้ refresh;
• บัญชีปัจจุบันไม่มี node ที่พร้อมใช้งาน;
• network ไม่พร้อมใช้งาน;
• daemon ไม่ได้ทำงาน;
• mode ปัจจุบันไม่ compatible กับ target node;
• ใน mode auto recommended protocol เริ่มทำงานไม่สำเร็จ และ fallback ก็ล้มเหลวด้วย

แนะนำให้ตรวจสอบ:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

เอาต์พุตแบบมีโครงสร้าง:

panda status --json

คำสั่งแบบย่อ:

panda stat

doctor เป็นคำสั่งวินิจฉัยแบบ read-only ใช้สำหรับดูสถานะสำคัญปัจจุบันของ Panda CLI

panda doctor
panda doctor --json

รูปแบบสั้น:

panda do

เน้นตรวจสอบ:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace ใช้สำหรับดูว่า target หนึ่งจะใช้ rule, DNS action และ route ใด

panda trace example.com:443
panda trace 8.8.8.8:53 --json

หมายเหตุ: ความสามารถ trace แบบเต็มต้องใช้ active PandaVPN packet runtime หากไม่มี runtime ที่ compatible จะทำได้เพียง validation แบบจำกัด หรือ fallback ไปยัง legacy trace

โดยทั่วไปเกิดจากมีการติดตั้ง service / LaunchDaemon อย่างเป็นทางการแล้ว และยังเคยรันด้วยตนเอง:

sudo panda start

sudo panda start จะเริ่ม daemon แบบ unmanaged / อยู่นอกการจัดการ ซึ่งอาจจัดการสิ่งต่อไปนี้พร้อมกับ daemon อย่างเป็นทางการ:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

หลักการแก้ไขคือ: เก็บไว้เพียง daemon เดียว

วิธีจัดการที่ใช้บ่อยบน macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

บน Linux หากใช้ systemd service ให้ restart service อย่างเป็นทางการหลังจากนั้น:

sudo panda service restart
panda doctor

บน macOS หากติดตั้งด้วย .pkg โดยทั่วไปให้ LaunchDaemon / helper จัดการ daemon และอย่าใช้ sudo panda start เป็นวิธี startup ประจำวันในระยะยาว

หากต้องการเพียง disconnect VPN ไม่จำเป็นต้องออกจาก daemon:

panda disconnect
panda kill-switch off

หากต้องการหยุด daemon จริง ๆ:

sudo panda stop

ยืนยัน:

panda status

หากแสดง panda daemon unavailable หมายความว่า main daemon หยุดแล้ว

หมายเหตุ: LaunchDaemon / helper ที่ติดตั้งผ่าน macOS .pkg อาจถูกจัดการโดย system ไม่แนะนำให้ผู้ใช้ทั่วไปหยุด service ด้วยตนเองบ่อย ๆ

panda log
panda log --lines 200
panda log --all

ล้าง logs:

panda log clear

เปิด debug ชั่วคราว:

panda log level debug dns,tcp --ttl 10m

คืนค่า default:

panda log level reset

ใน no-tunnel IPv6 scenario, awdl0 / llw0 อาจถูก block ทำให้ AirDrop / Continuity ใช้งานไม่ได้ชั่วคราว
โดยปกติจะกลับมาใช้งานได้หลังจาก disconnect

หากยังผิดปกติ แนะนำ:

panda disconnect
panda kill-switch off
panda repair
panda doctor

เวอร์ชันที่รองรับสามารถกำหนดค่าได้:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

คำอธิบาย:

• ค่าเริ่มต้นแนะนำให้ใช้ auto;
• หลังจากแก้ไขแล้วจะไม่มี hot reconnect;
• ต้อง reconnect เพื่อให้มีผลกับ TCP socket ใหม่;
• Node ที่ไม่รองรับ TFO ไม่ควรมี connection latency regression ที่เห็นได้ชัด

หากเวอร์ชันปัจจุบันไม่มี config option นี้ ให้ยึดตาม panda config --help หรือ CLI help จริง

Privacy mode สามารถเข้าใจได้ว่าเป็น mode ความปลอดภัยที่เข้มงวดกว่า และแนะนำให้ถือว่าเทียบเท่ากับ:

panda mode pandavpn global
panda kill-switch on

หรือภายใต้การเลือก protocol อัตโนมัติเป็นค่าเริ่มต้น:

panda mode auto
panda kill-switch on

ใน Privacy mode แนะนำให้มีข้อจำกัดดังนี้:

• ไม่รองรับ proxy mode;
• ไม่รองรับ split mode;
• อนุญาตเฉพาะความหมายของ VPN global;
• ต้องเปิดใช้งาน Kill-switch;
• egress ปกติจะถูกบล็อก

panda repair ครอบคลุมมากกว่า และอาจซ่อมแซม:

• VPN route
• DNS snapshot
• Kill-switch guard
• สถานะที่เกี่ยวข้องกับ system proxy

panda proxy repair จะซ่อมแซม system proxy drift ของผู้ใช้ปัจจุบันเป็นหลัก

panda repair
panda proxy repair

สำหรับ Fresh install ค่าเริ่มต้นคือ proxy system-proxy on
หากผู้ใช้เคยบันทึก off ไว้อย่างชัดเจน จะคงค่า configuration นั้นไว้

ดูหรือตั้งค่า:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

หมายเหตุ: ใน mode auto, pandavpn และ wireguard VPN runtime จะ ignore system proxy preference ที่ persist ไว้; VPN companion proxy ยังคงใช้ได้และใช้ scoped egress

Windows system proxy คือการตั้งค่า HKCU WinINET ของผู้ใช้ปัจจุบัน และต้องใช้ per-user user-agent
หากคุณอยู่ใน SSH หรือ non-interactive session, proxy repair อาจไม่สามารถเริ่ม user-agent โดยอัตโนมัติได้เสมอไป

แนะนำ:

panda proxy status
panda proxy repair
panda doctor

หากยังไม่มีผล ให้ลองอีกครั้งใน desktop login session

Linux Phase 1 รองรับ GNOME gsettings เป็นหลัก
Environment อย่าง KDE / XFCE อาจแสดงเป็น unsupported

สิ่งนี้ไม่ได้จำเป็นต้องกระทบ PandaVPN packet runtime แต่อาจกระทบประสบการณ์ของ system proxy mode

ความหมายของ Kill-switch คืออนุญาตให้ทราฟฟิกผ่าน TUN เท่านั้น ส่วนทราฟฟิกปกติอื่น ๆ จะถูกบล็อก

proxy mode เป็น standalone local proxy mode ไม่มี packet VPN / TUN และไม่มีการป้องกัน DNS และ routing ที่เทียบเท่ากัน ดังนั้น Kill-switch จึงไม่รองรับ standalone proxy mode

เมื่อต้องการ Kill-switch ให้ใช้:

panda mode auto
panda kill-switch on

หรือ:

panda mode pandavpn global
panda kill-switch on

หรือ:

panda mode wireguard
panda kill-switch on

ไม่ใช่

Auto-connect ครอบคลุมหลัก ๆ คือ best-effort connect ตอน daemon / service เริ่มทำงาน และ pending retry เมื่อตอน startup ยังไม่มี network ชั่วคราว

เปิด:

panda config auto-connect on

ปิด:

panda config auto-connect off

ไม่ใช่กลไก runtime automatic reconnect ทั่วไป

Split rules ใช้เพื่อกำหนดให้บาง domain, keyword, regex หรือ IP ไปผ่าน proxy, direct หรือ block

ไฟล์ rules:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Commands ที่ใช้บ่อย:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

ข้อจำกัดที่ทราบในปัจจุบัน: หลังจาก login แล้ว pending auto-connect ที่รอ retry จะไม่ถูก wake โดยอัตโนมัติ

แนะนำให้รันเองหลังจาก login:

panda connect

โดยทั่วไปไม่จำเป็น การเปลี่ยนแปลง configuration ของ Split DNS จะถูก hot-load

Commands ที่ใช้บ่อย:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

หาก platform ไม่รองรับ local DNS sources บางรายการ doctor จะแสดง warning

ในเวอร์ชันใหม่ Windows Kill-switch ถูกอัปเกรดจาก daemon-held dynamic session เป็น persistent WFP filters แล้ว
ซึ่งหมายความว่า guard สามารถคงอยู่ได้หลังจาก daemon exit แบบผิดปกติ

แต่ persistent WFP ไม่เท่ากับ boot-time filter; ช่วง startup window ที่เร็วมากยังอยู่ในขอบเขต hardening ต่อไป

ความหมายของ Kill-switch คืออนุญาตให้ทราฟฟิกผ่าน TUN เท่านั้น ส่วนทราฟฟิกปกติอื่น ๆ จะถูกบล็อก

proxy mode เป็น standalone local proxy mode ไม่มี packet VPN / TUN และไม่มีการป้องกัน DNS และ routing ที่เทียบเท่ากัน ดังนั้น Kill-switch จึงไม่รองรับ standalone proxy mode

เมื่อต้องการ Kill-switch ให้ใช้:

panda mode auto
panda kill-switch on

หรือ:

panda mode pandavpn global
panda kill-switch on

หรือ:

panda mode wireguard
panda kill-switch on

ได้

mode auto + kill-switch on สามารถใช้ได้ แต่ path สุดท้ายต้อง resolve เป็น PandaVPN / WireGuard และต้องไม่ตกไปเป็น standalone proxy ระหว่างการเชื่อมต่อ หาก fallback จาก WireGuard ไปยัง PandaVPN ก็ต้องคง guard active ไว้ และต้องไม่มี fail-open window เกิดขึ้น

แนะนำ:

panda mode auto
panda kill-switch on
panda connect
panda doctor

ไม่แนะนำ

Kill-switch เป็นตัวเลือกเพิ่มการปกป้องความเป็นส่วนตัว และไม่เหมาะที่จะอยู่ในเส้นทางใช้งานที่สั้นที่สุด เหตุผลคือ:

• disconnect จะไม่ปิด Kill-switch;
• หลังจากเปิดใช้งาน เครือข่ายปกติอาจถูกบล็อก;
• ยังเกี่ยวข้องกับ LAN access, DNS lockdown, firewall และความแตกต่างของสิทธิ์ในแต่ละแพลตฟอร์ม;
• ผู้ใช้ใหม่อาจเข้าใจผิดว่าเครือข่ายเสีย

แนะนำให้ผู้ใช้ใหม่ทำสิ่งนี้ให้เสร็จก่อน:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

หลังจากยืนยันว่าการเชื่อมต่อทำงานปกติแล้ว ค่อยเปิดตามความจำเป็น:

panda kill-switch on
panda doctor

ไม่

นี่คือพฤติกรรมที่คาดไว้ Kill-switch เป็นสวิตช์ความปลอดภัยแบบถาวร และ disconnect จะตัดการเชื่อมต่อ runtime ปัจจุบันเท่านั้น ไม่ได้ปิด Kill-switch โดยอัตโนมัติ

หากต้องการกู้คืนการเข้าถึงเครือข่ายตามปกติ ให้รัน:

panda kill-switch off

ใน strict mode, Kill-switch จะบล็อกทราฟฟิก LAN / WAN ปกติ
เวอร์ชันที่รองรับ allow-lan สามารถเปิดการเข้าถึง LAN แบบจำกัดได้:

panda kill-switch allow-lan on

ปิดการอนุญาต LAN:

panda kill-switch allow-lan off

หมายเหตุ: allow-lan อนุญาต private network / link-local / ULA unicast และ v1 discovery แต่ LAN DNS ยังคงควรถูกบล็อก เพื่อหลีกเลี่ยงการ bypass Panda DNS lockdown