Запитання й відповіді PandaVPN CLI

Panda CLI — це клієнт командного рядка Panda, який підтримує виконання таких дій через термінал:

• Вхід і керування обліковим записом
• Оновлення вузлів і підключення до вузлів
• Перемикання режимів PandaVPN / Proxy / WireGuard / Auto
• Налаштування системного проксі
• Правила Split rules для розділення трафіку
• Налаштування Split DNS
• Захист Kill-switch
• Auto-connect
• Журнали та діагностика

Він підходить для внутрішніх тестових користувачів, розробників, досвідчених користувачів і тестових сценаріїв, що потребують скриптових операцій.

PandaVPN CLI краще підходить для автоматизованого тестування, віддаленого усунення несправностей і підключень за допомогою сценаріїв.

Panda Desktop і PandaVPN CLI — це два інтерфейси керування одним і тим самим PandaVPN daemon, які використовують спільний стан підключення, тому їх можна використовувати разом.

Не запускайте застарілі настільні програми, такі як Panda-Qt або старий Linux AppImage, одночасно з PandaVPN CLI, оскільки це може спричинити конфлікти мережевої конфігурації.

Деякі можливості потребують дозволів на рівні системи, наприклад:

• Створення мережевих інтерфейсів TUN / WireGuard
• Зміна DNS
• Налаштування системного проксі
• Застосування Kill-switch
• Виправлення маршрутів
• Керування packet VPN runtime

Тому CLI виконує ці операції через відповідний для платформи daemon / service.

Форми daemon на різних платформах:

Основна відмінність така: у Windows і macOS служба зазвичай встановлюється автоматично через інсталяційний пакет, тоді як у Linux користувачу зазвичай потрібно вручну виконати sudo panda service install.

У Windows лише якщо ви не використовуєте інсталяційний пакет і вручну розміщуєте бінарний файл, потрібно виконати в PowerShell від імені адміністратора:

panda service install windows

У macOS це потрібно лише під час розробки й налагодження, якщо не використовується інсталяційний пакет .pkg, або якщо daemon не запускається автоматично:

sudo panda start

У Linux рекомендується:

sudo panda service install
panda service status

Так, вони однакові. Основна відмінність полягає в архітектурі завантаженого інсталяційного пакета.

Кроки встановлення, команди та спосіб керування службою однакові. Інсталяційний пакет автоматично підвищить привілеї та зареєструє Windows Service.

Так, однакові. Основна відмінність полягає в архітектурі завантаженого пакета .pkg.

Кроки встановлення однакові. Після встановлення через .pkg LaunchDaemon / helper зазвичай встановлюється та запускається автоматично.

Для користувачів у всьому світі рекомендуємо за замовчуванням використовувати mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Якщо після нового встановлення mode auto уже використовується за замовчуванням, можна скористатися й коротшим варіантом:

panda login
panda node refresh
panda connect
panda doctor

Відповідна скорочена версія:

panda login
panda no re
panda conn
panda do

На офіційній сторінці завантаження та в інструкції для початківців варто насамперед показувати повні команди; скорочення можна показати пізніше в розширеній документації або поясненнях інтерактивного режиму.

gfwlist — це специфічне джерело правил split і не підходить як режим за замовчуванням для користувачів у всьому світі.

Для глобальних користувачів за замовчуванням рекомендується:

panda mode auto

Або постійно використовувати глобальний режим PandaVPN:

panda mode pandavpn global

gfwlist можна залишити в документації з розширеного split routing, але не рекомендується показувати його на першому екрані офіційного сайту, у Hero-блоці сторінки завантаження або в quick start для початківців.

Рекомендується спочатку від’єднатися й вимкнути Kill-switch:

panda disconnect
panda kill-switch off

Якщо це ручне оновлення або оновлення Linux service, рекомендується також зупинити daemon:

sudo panda stop

Під час оновлення macOS і Windows за допомогою інсталятора він зазвичай автоматично обробляє встановлення service і перезапуск. Після завершення оновлення рекомендується виконати:

panda version
panda doctor
panda connect

Після ручного оновлення в Linux рекомендується:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Означає bare group selector: VIP / SVIP / FREE tab не фіксується, а API вибирає відповідний tab.

panda connect svip us

Означає фіксоване використання us у SVIP tab.

Форма з двокрапкою еквівалентна й підходить для скриптів:

panda connect svip:us

favorite tab наразі є flat favorite channel list і не підтримує favorite group smart connect на кшталт connect fav us; для favorite використовуйте:

panda connect fav

або:

panda connect --node <NODE_ID>

Переважно підтримує:

Поширені налаштування:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

Наразі не рекомендується показувати openvpn як основний режим у документації користувача.

Рекомендація:

Примітка: mode proxy і Kill-switch взаємовиключні.

mode auto — це режим за замовчуванням у новій версії.

Його поведінка:

• API node / smart connect пріоритетно вибирає runtime на основі meta.protocol;
• Якщо рекомендовано WireGuard, спочатку буде спроба використати WireGuard;
• Якщо метадані WireGuard, призначення адреси, запуск runtime, handshake або перевірка з’єднання завершаться невдачею, відбудеться повернення до PandaVPN global, скомпільованого з SS payload;
• SS, OPENVPN, невідомі або відсутні протоколи використовуватимуть PandaVPN global як fallback;
• mode auto не приймає параметр policy, а визначений runtime завжди є global.

Рекомендовано для нових користувачів:

panda mode auto
panda connect

direct-region — рекомендований запис; bypass-region / bypass — сумісні псевдоніми.

Наприклад:

panda mode pandavpn direct-region in

Еквівалентно сумісному псевдоніму:

panda mode pandavpn bypass-region in

Нова версія підтримує повніший синтаксис split profile:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Поширені token:

Приклади:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

У документації для початківців не рекомендується показувати довгі команди; вони краще підходять для розширеної документації split.

Переглянути всі вузли:

panda node list

Оновити й переглянути знову:

panda node refresh
panda node list

Короткий запис:

panda no re
panda no list

Переглянути певний регіон або групу:

panda node list us
panda node list jp
panda node list de

Переглянути групи вузлів:

panda node group

Переглянути деталі певної групи:

panda node group show us

Спочатку знайдіть node:

panda node list us

Потім підключіться:

panda connect --node 1822

Також можна підключитися за назвою:

panda connect --node "US Node"

Короткий запис:

panda no list us
panda conn --node 1822

panda connect використовує останню ціль.
Якщо попередньої цілі немає, буде спроба global smart connect.

Smart connect потребує:

• щоб ви були авторизовані;
• щоб каталог вузлів був кешований;
• за потреби спочатку виконайте panda node refresh.

Короткий запис:

panda conn

Поширені причини:

• ви ще не ввійшли в акаунт;
• каталог вузлів не оновлено;
• у поточного акаунта немає доступних вузлів;
• мережа недоступна;
• daemon не запущено;
• поточний mode несумісний із цільовим вузлом;
• у mode auto рекомендований протокол не запустився, і fallback також завершився невдало.

Рекомендована перевірка:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Структурований вивід:

panda status --json

Короткий запис:

panda stat

doctor — це діагностична команда лише для читання, яка використовується для перегляду поточних ключових станів Panda CLI.

panda doctor
panda doctor --json

Короткий запис:

panda do

Зверніть особливу увагу на:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace використовується, щоб побачити, яке правило, DNS action і route використає певна ціль.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Примітка: повна можливість trace потребує active PandaVPN packet runtime. Без сумісного runtime доступна лише обмежена перевірка або fallback до legacy trace.

Зазвичай це відбувається тому, що встановлено офіційний service / LaunchDaemon, а також вручну було виконано:

sudo panda start

sudo panda start запускає unmanaged / некерований daemon, який може одночасно з офіційним daemon керувати:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Принцип вирішення: залиште лише один daemon.

Типові дії для macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

У Linux, якщо використовується systemd service, після цього перезапустіть офіційний service:

sudo panda service restart
panda doctor

У macOS, якщо встановлення виконано через .pkg, зазвичай дозвольте LaunchDaemon / helper керувати daemon і не використовуйте sudo panda start довгостроково як щоденний спосіб запуску.

Якщо ви просто хочете відключити VPN, виходити з daemon не потрібно:

panda disconnect
panda kill-switch off

Якщо справді потрібно зупинити daemon:

sudo panda stop

Підтвердження:

panda status

Якщо показано panda daemon unavailable, це означає, що основний daemon зупинено.

Примітка: LaunchDaemon / helper, встановлений через macOS .pkg, може керуватися системою; звичайним користувачам не рекомендується часто вручну зупиняти службу.

panda log
panda log --lines 200
panda log --all

Очистити logs:

panda log clear

Тимчасово ввімкнути debug:

panda log level debug dns,tcp --ttl 10m

Відновити стандартні налаштування:

panda log level reset

У сценарії no-tunnel IPv6 awdl0 / llw0 можуть бути block, через що AirDrop / Continuity тимчасово недоступні.
Зазвичай усе відновлюється після disconnect.

Якщо проблема не зникає, рекомендовано:

panda disconnect
panda kill-switch off
panda repair
panda doctor

У підтримуваних версіях це можна налаштувати:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Пояснення:

• За замовчуванням рекомендовано auto;
• Після зміни hot reconnect не відбудеться;
• Потрібен reconnect, щоб налаштування подіяло на нові TCP socket;
• Nodes без підтримки TFO не повинні показувати помітне погіршення затримки підключення.

Якщо поточна версія не має цього пункту конфігурації, орієнтуйтеся на panda config --help або фактичний CLI help.

Privacy mode можна розуміти як суворіший режим безпеки; рекомендується вважати його еквівалентним:

panda mode pandavpn global
panda kill-switch on

Або при стандартному автоматичному виборі протоколу:

panda mode auto
panda kill-switch on

У Privacy mode рекомендовані такі обмеження:

• proxy mode не підтримується;
• split mode не підтримується;
• Дозволяється лише семантика VPN global;
• Kill-switch має бути увімкнений;
• Звичайний egress блокується.

panda repair є більш комплексною командою і може виправити:

• VPN route
• DNS snapshot
• Kill-switch guard
• стани, пов’язані з system proxy

panda proxy repair переважно виправляє system proxy drift поточного користувача.

panda repair
panda proxy repair

Після Fresh install за замовчуванням використовується proxy system-proxy on.
Якщо користувач явно зберіг off, ця конфігурація буде збережена.

Переглянути або налаштувати:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Примітка: у mode auto, pandavpn і wireguard VPN runtime ігнорує збережену перевагу system proxy; VPN companion proxy залишається доступним і використовує scoped egress.

Windows system proxy — це налаштування HKCU WinINET поточного користувача, для якого потрібен per-user user-agent.
Якщо ви перебуваєте в SSH або неінтерактивній сесії, proxy repair не завжди зможе автоматично запустити user-agent.

Рекомендовано:

panda proxy status
panda proxy repair
panda doctor

Якщо все ще не застосовується, спробуйте ще раз у сесії входу на робочий стіл.

Linux Phase 1 переважно підтримує GNOME gsettings.
Середовища KDE / XFCE тощо можуть відображатися як unsupported.

Це не обов’язково впливає на PandaVPN packet runtime, але може вплинути на досвід system proxy mode.

Сенс Kill-switch полягає в тому, що дозволяється лише трафік через TUN, а інший звичайний трафік блокується.

proxy mode — це standalone режим локального proxy, без packet VPN / TUN і без еквівалентного захисту DNS та routing. Тому Kill-switch не підтримує standalone proxy mode.

Коли потрібен Kill-switch, використовуйте:

panda mode auto
panda kill-switch on

Або:

panda mode pandavpn global
panda kill-switch on

Або:

panda mode wireguard
panda kill-switch on

Ні.

Auto-connect переважно охоплює best-effort connect під час запуску daemon / service, а також pending retry, коли під час запуску мережа тимчасово недоступна.

Увімкнути:

panda config auto-connect on

Вимкнути:

panda config auto-connect off

Це не загальний механізм автоматичного повторного підключення під час runtime.

Split rules використовуються, щоб указати, що певні домени, ключові слова, regex або IP йдуть через proxy, direct або block.

Файли правил:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Поширені команди:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Поточне відоме обмеження: після login pending auto-connect, що очікує retry, не буде автоматично wake.

Після login рекомендується вручну виконати:

panda connect

Зазвичай ні. Зміни конфігурації Split DNS застосовуються через hot-load.

Поширені команди:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Якщо платформа не підтримує деякі джерела local DNS, doctor покаже warning.

У нових версіях Windows Kill-switch оновлено з daemon-held dynamic session до persistent WFP filters.
Це означає, що guard може зберігатися після аварійного завершення daemon.

Але persistent WFP не дорівнює boot-time filter; найраніше вікно запуску все ще належить до майбутнього hardening.

Сенс Kill-switch полягає в тому, що дозволяється лише трафік через TUN, а інший звичайний трафік блокується.

proxy mode — це standalone режим локального proxy, без packet VPN / TUN і без еквівалентного захисту DNS та routing. Тому Kill-switch не підтримує standalone proxy mode.

Коли потрібен Kill-switch, використовуйте:

panda mode auto
panda kill-switch on

Або:

panda mode pandavpn global
panda kill-switch on

Або:

panda mode wireguard
panda kill-switch on

Так.

mode auto + kill-switch on дозволено, але кінцевий path має resolve у PandaVPN / WireGuard і не повинен переходити до standalone proxy. Під час підключення, якщо відбувається fallback з WireGuard до PandaVPN, guard active також має зберігатися, і не повинно виникати жодного fail-open window.

Рекомендовано:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Не рекомендується.

Kill-switch — це опція посиленого захисту приватності, і її не варто додавати до найкоротшого робочого шляху. Причини:

• disconnect не вимикає Kill-switch;
• Після ввімкнення звичайна мережа може бути заблокована;
• Також це пов’язано з доступом до LAN, DNS lockdown, firewall і відмінностями дозволів платформ;
• Нові користувачі можуть помилково подумати, що мережа зламалася.

Новим користувачам рекомендується спочатку виконати:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Після підтвердження, що підключення працює нормально, вмикайте за потреби:

panda kill-switch on
panda doctor

Ні.

Це очікувана поведінка. Kill-switch — це постійний перемикач безпеки, а disconnect лише від’єднує поточний runtime і не вимикає Kill-switch автоматично.

Щоб відновити звичайний доступ до мережі, виконайте:

panda kill-switch off

У строгому режимі Kill-switch блокує звичайний трафік LAN / WAN.
Версії з підтримкою allow-lan можуть увімкнути обмежений доступ до LAN:

panda kill-switch allow-lan on

Вимкнути дозвіл LAN:

panda kill-switch allow-lan off

Примітка: allow-lan дозволяє private network / link-local / ULA unicast і v1 discovery, але LAN DNS усе одно має блокуватися, щоб уникнути обходу Panda DNS lockdown.