Câu hỏi thường gặp về PandaVPN CLI

Panda CLI là ứng dụng dòng lệnh của Panda và hỗ trợ thực hiện các thao tác sau thông qua terminal:

• Đăng nhập và quản lý tài khoản
• Làm mới nút và kết nối nút
• Chuyển đổi giữa các chế độ PandaVPN / Proxy / WireGuard / Auto
• Cấu hình proxy hệ thống
• Split rules cho quy tắc phân luồng
• Cấu hình Split DNS
• Bảo vệ Kill-switch
• Auto-connect
• Nhật ký và chẩn đoán

Công cụ này phù hợp với người dùng thử nghiệm nội bộ, nhà phát triển, người dùng nâng cao và các kịch bản kiểm thử cần thao tác bằng script.

PandaVPN CLI phù hợp hơn cho kiểm thử tự động, xử lý sự cố từ xa và các kết nối được điều khiển bằng tập lệnh.

Panda Desktop và PandaVPN CLI là hai giao diện điều khiển cho cùng một PandaVPN daemon và dùng chung trạng thái kết nối, vì vậy có thể sử dụng cùng nhau.

Không chạy các ứng dụng máy tính để bàn cũ, chẳng hạn như Panda-Qt hoặc Linux AppImage cũ, cùng lúc với PandaVPN CLI vì điều này có thể gây xung đột cấu hình mạng.

Một số khả năng yêu cầu quyền cấp hệ thống, ví dụ:

• Tạo giao diện mạng TUN / WireGuard
• Sửa đổi DNS
• Thiết lập proxy hệ thống
• Áp dụng Kill-switch
• Sửa tuyến
• Quản lý packet VPN runtime

Vì vậy, CLI sẽ thực hiện các thao tác này thông qua daemon / service tương ứng với nền tảng.

Các dạng daemon trên các nền tảng khác nhau:

Điểm khác biệt chính là: Trên Windows và macOS, service thường được cài đặt tự động thông qua gói cài đặt, trong khi trên Linux người dùng thường cần tự chạy sudo panda service install.

Trên Windows, chỉ khi không dùng gói cài đặt và đặt binary thủ công, bạn mới cần chạy lệnh sau trong PowerShell với quyền quản trị:

panda service install windows

Trên macOS, thao tác này chỉ cần khi phát triển và gỡ lỗi, khi không dùng gói cài đặt .pkg, hoặc khi daemon không tự khởi động:

sudo panda start

Trên Linux, khuyến nghị:

sudo panda service install
panda service status

Giống nhau. Khác biệt chủ yếu nằm ở kiến trúc của gói cài đặt được tải xuống.

Các bước cài đặt, lệnh và cách quản lý dịch vụ đều giống nhau. Gói cài đặt sẽ tự động nâng quyền và đăng ký Windows Service.

Giống nhau. Điểm khác biệt chính là kiến trúc của gói .pkg được tải xuống.

Các bước cài đặt giống nhau. Sau khi cài bằng .pkg, LaunchDaemon / helper thường sẽ được cài đặt và khởi động tự động.

Đối với người dùng toàn cầu, chúng tôi khuyến nghị mặc định sử dụng mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Nếu bản cài đặt mới đã mặc định là mode auto, bạn cũng có thể dùng phiên bản đơn giản hơn:

panda login
panda node refresh
panda connect
panda doctor

Phiên bản viết tắt tương ứng:

panda login
panda no re
panda conn
panda do

Trang tải xuống chính thức và hướng dẫn cho người mới nên ưu tiên hiển thị lệnh đầy đủ; các lệnh viết tắt nên được hiển thị sau trong tài liệu nâng cao hoặc phần giải thích chế độ tương tác.

gfwlist là một nguồn quy tắc split cụ thể và không phù hợp làm chế độ mặc định cho người dùng toàn cầu.

Với người dùng toàn cầu, mặc định được khuyến nghị là:

panda mode auto

Hoặc sử dụng cố định chế độ global của PandaVPN:

panda mode pandavpn global

gfwlist có thể được giữ trong tài liệu split routing nâng cao, nhưng không nên xuất hiện ở màn hình đầu tiên của trang web chính thức, Hero của trang tải xuống hoặc phần quick start cho người mới.

Nên ngắt kết nối trước và tắt Kill-switch:

panda disconnect
panda kill-switch off

Nếu là nâng cấp thủ công hoặc nâng cấp Linux service, nên dừng thêm daemon:

sudo panda stop

Khi nâng cấp macOS và Windows bằng installer, installer thường tự động xử lý cài đặt service và restart. Sau khi nâng cấp hoàn tất, nên chạy:

panda version
panda doctor
panda connect

Sau khi nâng cấp thủ công trên Linux, nên chạy:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Có nghĩa là bare group selector; không cố định VIP / SVIP / FREE tab, API sẽ chọn tab phù hợp.

panda connect svip us

Có nghĩa là cố định sử dụng us trong SVIP tab.

Dạng dấu hai chấm là tương đương và phù hợp cho scripts:

panda connect svip:us

favorite tab hiện là flat favorite channel list và không hỗ trợ favorite group smart connect như connect fav us; với favorite, hãy dùng:

panda connect fav

hoặc:

panda connect --node <NODE_ID>

Chủ yếu hỗ trợ:

Cài đặt thường dùng:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

Hiện tại không khuyến nghị hiển thị openvpn như một chế độ chính trong tài liệu người dùng.

Khuyến nghị:

Lưu ý: mode proxy xung đột với Kill-switch.

mode auto là chế độ mặc định trong phiên bản mới.

Cách hoạt động của nó là:

• API node / smart connect ưu tiên chọn runtime dựa trên meta.protocol;
• Nếu WireGuard được đề xuất, hệ thống sẽ thử WireGuard trước;
• Nếu metadata của WireGuard, cấp phát địa chỉ, khởi động runtime, handshake hoặc kiểm tra kết nối thất bại, hệ thống sẽ fallback về PandaVPN global được biên dịch từ SS payload;
• SS, OPENVPN, giao thức không xác định hoặc bị thiếu sẽ dùng PandaVPN global làm fallback;
• mode auto không nhận tham số policy, và runtime được phân giải luôn là global.

Khuyến nghị cho người dùng mới:

panda mode auto
panda connect

direct-region là cách viết được khuyến nghị; bypass-region / bypass là alias tương thích.

Ví dụ:

panda mode pandavpn direct-region in

Tương đương với alias tương thích:

panda mode pandavpn bypass-region in

Phiên bản mới hỗ trợ cú pháp split profile đầy đủ hơn:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Các token thường dùng:

Ví dụ:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

Không khuyến nghị hiển thị lệnh dài trong tài liệu cho người mới; phù hợp hơn khi đặt trong tài liệu split nâng cao.

Xem tất cả node:

panda node list

Refresh rồi xem lại:

panda node refresh
panda node list

Cách viết ngắn:

panda no re
panda no list

Xem một region hoặc group cụ thể:

panda node list us
panda node list jp
panda node list de

Xem node groups:

panda node group

Xem chi tiết một group cụ thể:

panda node group show us

Trước tiên hãy tìm node:

panda node list us

Sau đó kết nối:

panda connect --node 1822

Cũng có thể kết nối theo tên:

panda connect --node "US Node"

Dạng viết tắt:

panda no list us
panda conn --node 1822

panda connect sẽ dùng target gần nhất.
Nếu không có target trước đó, nó sẽ thử global smart connect.

Smart connect cần:

• đã đăng nhập;
• thư mục node đã được cache;
• khi cần, hãy chạy panda node refresh trước.

Cách viết ngắn:

panda conn

Nguyên nhân thường gặp:

• chưa đăng nhập;
• thư mục node chưa được refresh;
• tài khoản hiện tại không có node khả dụng;
• network không khả dụng;
• daemon chưa chạy;
• mode hiện tại không tương thích với node mục tiêu;
• trong mode auto, protocol được khuyến nghị khởi động thất bại và fallback cũng thất bại.

Khuyến nghị kiểm tra:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Đầu ra có cấu trúc:

panda status --json

Dạng viết tắt:

panda stat

doctor là lệnh chẩn đoán chỉ đọc, dùng để xem các trạng thái quan trọng hiện tại của Panda CLI.

panda doctor
panda doctor --json

Cách viết ngắn:

panda do

Tập trung vào:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace dùng để xem một target sẽ đi theo rule nào, DNS action nào và route nào.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Lưu ý: khả năng trace đầy đủ cần active PandaVPN packet runtime. Khi không có runtime tương thích, chỉ có thể kiểm tra giới hạn hoặc fallback về legacy trace.

Thông thường là do đã cài service / LaunchDaemon chính thức, đồng thời bạn cũng đã chạy thủ công:

sudo panda start

sudo panda start sẽ khởi động một daemon unmanaged / không được quản lý, có thể cùng lúc với daemon chính thức quản lý:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Nguyên tắc xử lý là: chỉ giữ lại một daemon.

Cách xử lý thường dùng trên macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

Trên Linux, nếu dùng systemd service, sau đó hãy khởi động lại service chính thức:

sudo panda service restart
panda doctor

Trên macOS, nếu cài bằng .pkg, thường nên để LaunchDaemon / helper quản lý daemon, không dùng sudo panda start lâu dài như cách khởi động hằng ngày.

Nếu bạn chỉ muốn ngắt VPN, không cần thoát daemon:

panda disconnect
panda kill-switch off

Nếu thực sự muốn dừng daemon:

sudo panda stop

Xác nhận:

panda status

Nếu hiển thị panda daemon unavailable, nghĩa là daemon chính đã dừng.

Lưu ý: LaunchDaemon / helper được cài bằng macOS .pkg có thể do hệ thống quản lý; người dùng thông thường không nên thường xuyên dừng service theo cách thủ công.

panda log
panda log --lines 200
panda log --all

Xóa logs:

panda log clear

Tạm thời bật debug:

panda log level debug dns,tcp --ttl 10m

Khôi phục default:

panda log level reset

Trong scenario no-tunnel IPv6, awdl0 / llw0 có thể bị block, khiến AirDrop / Continuity tạm thời không khả dụng.
Thông thường sẽ khôi phục sau disconnect.

Nếu vẫn bất thường, khuyến nghị:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Các phiên bản được hỗ trợ có thể cấu hình:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Giải thích:

• Mặc định khuyến nghị dùng auto;
• Sau khi thay đổi sẽ không hot reconnect;
• Cần reconnect để có hiệu lực với TCP socket mới;
• Các node không hỗ trợ TFO không nên có regression rõ rệt về độ trễ kết nối.

Nếu phiên bản hiện tại không có mục cấu hình này, hãy theo panda config --help hoặc CLI help thực tế.

Privacy mode có thể được hiểu là một mode bảo mật nghiêm ngặt hơn, và được khuyến nghị tương đương với:

panda mode pandavpn global
panda kill-switch on

Hoặc trong lựa chọn protocol tự động mặc định:

panda mode auto
panda kill-switch on

Trong Privacy mode, khuyến nghị các giới hạn sau:

• Không hỗ trợ proxy mode;
• Không hỗ trợ split mode;
• Chỉ cho phép ngữ nghĩa VPN global;
• Phải bật Kill-switch;
• egress thông thường bị chặn.

panda repair toàn diện hơn và có thể sửa:

• VPN route
• DNS snapshot
• Kill-switch guard
• trạng thái liên quan đến system proxy

panda proxy repair chủ yếu sửa system proxy drift của người dùng hiện tại.

panda repair
panda proxy repair

Với Fresh install, mặc định là proxy system-proxy on.
Nếu người dùng đã lưu rõ ràng off, cấu hình đó sẽ được giữ lại.

Xem hoặc thiết lập:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Lưu ý: trong mode auto, pandavpn và wireguard, VPN runtime sẽ bỏ qua tùy chọn system proxy đã được lưu; VPN companion proxy vẫn khả dụng và đi qua scoped egress.

Windows system proxy là thiết lập HKCU WinINET của người dùng hiện tại và cần per-user user-agent.
Nếu bạn đang ở trong phiên SSH hoặc phiên không tương tác, proxy repair có thể không phải lúc nào cũng tự động khởi động được user-agent.

Khuyến nghị:

panda proxy status
panda proxy repair
panda doctor

Nếu vẫn không có hiệu lực, hãy thử lại trong phiên đăng nhập desktop.

Linux Phase 1 chủ yếu hỗ trợ GNOME gsettings.
Các môi trường như KDE / XFCE có thể hiển thị là unsupported.

Điều này không nhất thiết ảnh hưởng đến PandaVPN packet runtime, nhưng có thể ảnh hưởng đến trải nghiệm system proxy mode.

Ý nghĩa của Kill-switch là chỉ cho phép lưu lượng đi qua TUN, còn các lưu lượng thông thường khác sẽ bị chặn.

proxy mode là standalone local proxy mode, không có packet VPN / TUN và cũng không có bảo vệ DNS cũng như routing tương đương. Vì vậy Kill-switch không hỗ trợ standalone proxy mode.

Khi cần Kill-switch, hãy dùng:

panda mode auto
panda kill-switch on

Hoặc:

panda mode pandavpn global
panda kill-switch on

Hoặc:

panda mode wireguard
panda kill-switch on

Không.

Auto-connect chủ yếu bao gồm best-effort connect khi daemon / service khởi động, cùng với pending retry khi startup tạm thời chưa có network.

Bật:

panda config auto-connect on

Tắt:

panda config auto-connect off

Nó không phải là cơ chế runtime automatic reconnect chung.

Split rules dùng để chỉ định một số domain, keyword, regex hoặc IP đi qua proxy, direct hoặc block.

File rules:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Commands thường dùng:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Giới hạn đã biết hiện tại: sau khi login, pending auto-connect đang chờ retry sẽ không được wake tự động.

Sau khi login, nên chạy thủ công:

panda connect

Thông thường không cần. Các thay đổi cấu hình Split DNS sẽ được hot-load.

Commands thường dùng:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Nếu platform không hỗ trợ một số nguồn local DNS, doctor sẽ hiển thị warning.

Trong các phiên bản mới, Windows Kill-switch đã được nâng cấp từ daemon-held dynamic session lên persistent WFP filters.
Điều này có nghĩa là guard có thể được giữ lại sau khi daemon thoát bất thường.

Tuy nhiên, persistent WFP không tương đương với boot-time filter; cửa sổ khởi động rất sớm vẫn thuộc phạm vi hardening tiếp theo.

Ý nghĩa của Kill-switch là chỉ cho phép lưu lượng đi qua TUN, còn các lưu lượng thông thường khác sẽ bị chặn.

proxy mode là standalone local proxy mode, không có packet VPN / TUN và cũng không có bảo vệ DNS cũng như routing tương đương. Vì vậy Kill-switch không hỗ trợ standalone proxy mode.

Khi cần Kill-switch, hãy dùng:

panda mode auto
panda kill-switch on

Hoặc:

panda mode pandavpn global
panda kill-switch on

Hoặc:

panda mode wireguard
panda kill-switch on

Có.

mode auto + kill-switch on được phép, nhưng path cuối cùng phải resolve thành PandaVPN / WireGuard và không được rơi vào standalone proxy. Trong quá trình kết nối, nếu fallback từ WireGuard sang PandaVPN, cũng phải giữ guard active và không được xuất hiện fail-open window.

Khuyến nghị:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Không khuyến nghị.

Kill-switch là tùy chọn tăng cường bảo vệ quyền riêng tư, không phù hợp để đưa vào đường dẫn sử dụng ngắn nhất. Lý do:

• disconnect không tắt Kill-switch;
• Sau khi bật, mạng thông thường có thể bị chặn;
• Còn liên quan đến truy cập LAN, DNS lockdown, firewall và khác biệt quyền trên từng nền tảng;
• Người dùng mới có thể hiểu nhầm rằng mạng bị hỏng.

Người dùng mới nên hoàn tất trước:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Sau khi xác nhận kết nối hoạt động bình thường, hãy bật khi cần:

panda kill-switch on
panda doctor

Không.

Đây là hành vi dự kiến. Kill-switch là công tắc an toàn duy trì lâu dài, và disconnect chỉ ngắt runtime hiện tại; nó không tự động tắt Kill-switch.

Nếu muốn khôi phục truy cập mạng bình thường, hãy chạy:

panda kill-switch off

Ở strict mode, Kill-switch sẽ chặn lưu lượng LAN / WAN thông thường.
Các phiên bản hỗ trợ allow-lan có thể bật truy cập LAN giới hạn:

panda kill-switch allow-lan on

Tắt cho phép LAN:

panda kill-switch allow-lan off

Lưu ý: allow-lan cho phép private network / link-local / ULA unicast và v1 discovery, nhưng LAN DNS vẫn nên bị chặn để tránh vượt qua Panda DNS lockdown.