پرسش‌های متداول PandaVPN CLI

Panda CLI کلاینت خط فرمان Panda است و انجام موارد زیر را از طریق ترمینال پشتیبانی می‌کند:

• ورود و مدیریت حساب
• به‌روزرسانی نودها و اتصال به نودها
• تغییر بین حالت‌های PandaVPN / Proxy / WireGuard / Auto
• پیکربندی پروکسی سیستم
• قوانین Split rules برای تفکیک ترافیک
• پیکربندی Split DNS
• محافظت Kill-switch
• Auto-connect
• گزارش‌ها و عیب‌یابی

این ابزار برای کاربران تست داخلی، توسعه‌دهندگان، کاربران حرفه‌ای و سناریوهای آزمایشی که به عملیات اسکریپتی نیاز دارند مناسب است.

PandaVPN CLI برای آزمایش خودکار، عیب‌یابی از راه دور و اتصال‌های مبتنی بر اسکریپت مناسب‌تر است.

Panda Desktop وPandaVPN CLI دو رابط کنترلی برای یک PandaVPN daemon هستند و وضعیت اتصال یکسانی را به اشتراک می‌گذارند، بنابراین می‌توان از آن‌ها به‌طور هم‌زمان استفاده کرد.

برنامه‌های دسکتاپ قدیمی مانند Panda-Qt یا Linux AppImage قدیمی را هم‌زمان با PandaVPN CLI اجرا نکنید، زیرا ممکن است باعث تداخل در پیکربندی شبکه شود.

برخی قابلیت‌ها به مجوزهای سطح سیستم نیاز دارند، مانند:

• ایجاد رابط‌های شبکه TUN / WireGuard
• تغییر DNS
• تنظیم پروکسی سیستم
• اعمال Kill-switch
• اصلاح مسیرها
• مدیریت packet VPN runtime

بنابراین، CLI این عملیات را از طریق daemon / service متناظر با هر پلتفرم انجام می‌دهد.

شکل‌های daemon در پلتفرم‌های مختلف:

تفاوت اصلی این است: در Windows و macOS معمولاً سرویس از طریق بسته نصب به‌صورت خودکار نصب می‌شود، اما در Linux معمولاً کاربر باید sudo panda service install را به‌صورت دستی اجرا کند.

در Windows فقط زمانی که از بسته نصب استفاده نمی‌کنید و فایل‌های باینری را دستی قرار می‌دهید، لازم است دستور زیر را در PowerShell با دسترسی مدیر اجرا کنید:

panda service install windows

در macOS فقط هنگام توسعه و اشکال‌زدایی، زمانی که از بسته نصب .pkg استفاده نمی‌شود، یا وقتی daemon به‌صورت خودکار شروع نمی‌شود، این دستور لازم است:

sudo panda start

برای Linux پیشنهاد می‌شود:

sudo panda service install
panda service status

بله، یکسان است. تفاوت اصلی در معماری بسته نصبی‌ای است که دانلود می‌کنید.

مراحل نصب، دستورات و روش مدیریت سرویس یکسان است. بسته نصب به‌طور خودکار سطح دسترسی را افزایش می‌دهد و Windows Service را ثبت می‌کند.

بله، یکسان است. تفاوت اصلی در معماری بسته .pkg دانلودشده است.

مراحل نصب یکسان است. پس از نصب با .pkg، معمولاً LaunchDaemon / helper به‌صورت خودکار نصب و اجرا می‌شود.

برای کاربران جهانی، توصیه می‌کنیم به‌صورت پیش‌فرض از mode auto استفاده شود:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

اگر نصب جدید به‌صورت پیش‌فرض از قبل روی mode auto باشد، می‌توانید از نسخه ساده‌تر هم استفاده کنید:

panda login
panda node refresh
panda connect
panda doctor

نسخه کوتاه متناظر:

panda login
panda no re
panda conn
panda do

در صفحه رسمی دانلود و راهنمای شروع برای مبتدیان بهتر است ابتدا دستورات کامل نمایش داده شوند؛ نسخه‌های کوتاه بعداً در مستندات پیشرفته یا توضیحات حالت تعاملی نمایش داده شوند.

gfwlist یک منبع خاص برای قوانین split است و برای حالت پیش‌فرض کاربران جهانی مناسب نیست.

برای کاربران جهانی، حالت پیش‌فرض پیشنهادی این است:

panda mode auto

یا به‌صورت ثابت از حالت سراسری PandaVPN استفاده کنید:

panda mode pandavpn global

gfwlist می‌تواند در مستندات پیشرفته split routing باقی بماند، اما توصیه نمی‌شود در اولین صفحه وب‌سایت رسمی، Hero صفحه دانلود یا راهنمای شروع سریع برای تازه‌کاران نمایش داده شود.

پیشنهاد می‌شود ابتدا اتصال را قطع کرده و Kill-switch را خاموش کنید:

panda disconnect
panda kill-switch off

اگر ارتقا به‌صورت دستی است یا ارتقای Linux service انجام می‌دهید، پیشنهاد می‌شود daemon را هم متوقف کنید:

sudo panda stop

هنگام ارتقای macOS و Windows با نصب‌کننده، نصب‌کننده معمولاً نصب و راه‌اندازی مجدد service را به‌صورت خودکار انجام می‌دهد. پس از پایان ارتقا، پیشنهاد می‌شود اجرا کنید:

panda version
panda doctor
panda connect

پس از ارتقای دستی در Linux، پیشنهاد می‌شود:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

یعنی bare group selector؛ VIP / SVIP / FREE tab را ثابت نمی‌کند و API، tab مناسب را انتخاب می‌کند.

panda connect svip us

یعنی استفاده ثابت از us زیر SVIP tab.

فرم دونقطه‌ای معادل است و برای اسکریپت‌ها مناسب است:

panda connect svip:us

favorite tab در حال حاضر یک flat favorite channel list است و از favorite group smart connect مانند connect fav us پشتیبانی نمی‌کند؛ برای favorite از این استفاده کنید:

panda connect fav

یا:

panda connect --node <NODE_ID>

عمدتاً از این حالت‌ها پشتیبانی می‌کند:

تنظیمات رایج:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

در حال حاضر توصیه نمی‌شود openvpn به‌عنوان حالت اصلی در مستندات کاربر نمایش داده شود.

پیشنهاد:

توجه: mode proxy با Kill-switch ناسازگار است.

mode auto حالت پیش‌فرض نسخه جدید است.

رفتار آن به این صورت است:

• API node / smart connect بر اساس meta.protocol، runtime را با اولویت انتخاب می‌کند؛
• اگر WireGuard توصیه شده باشد، ابتدا WireGuard امتحان می‌شود؛
• اگر متادیتای WireGuard، تخصیص آدرس، راه‌اندازی runtime، handshake یا بررسی اتصال شکست بخورد، به PandaVPN global که از SS payload کامپایل شده است بازمی‌گردد؛
• SS، OPENVPN و پروتکل‌های ناشناخته یا مفقود از PandaVPN global به‌عنوان گزینه پشتیبان استفاده می‌کنند؛
• mode auto پارامتر policy را نمی‌پذیرد و runtime解析‌شده همیشه global است.

برای کاربران جدید توصیه می‌شود:

panda mode auto
panda connect

direct-region نگارش پیشنهادی است؛ bypass-region / bypass نام‌های مستعار سازگار هستند.

برای مثال:

panda mode pandavpn direct-region in

معادل نام مستعار سازگار زیر است:

panda mode pandavpn bypass-region in

نسخه جدید از نگارش کامل‌تر split profile پشتیبانی می‌کند:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

tokenهای رایج:

نمونه‌ها:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

نمایش دستورهای بلند در مستندات مبتدیان توصیه نمی‌شود؛ این موارد برای مستندات پیشرفته split مناسب‌ترند.

مشاهده همه nodeها:

panda node list

پس از refresh دوباره مشاهده کنید:

panda node refresh
panda node list

نوشتار کوتاه:

panda no re
panda no list

مشاهده یک منطقه یا گروه خاص:

panda node list us
panda node list jp
panda node list de

مشاهده گروه‌های node:

panda node group

مشاهده جزئیات یک گروه خاص:

panda node group show us

ابتدا node را جستجو کنید:

panda node list us

سپس وصل شوید:

panda connect --node 1822

همچنین می‌توانید بر اساس نام وصل شوید:

panda connect --node "US Node"

نسخه کوتاه:

panda no list us
panda conn --node 1822

panda connect از آخرین هدف استفاده می‌کند.
اگر هدف قبلی وجود نداشته باشد، global smart connect را امتحان می‌کند.

Smart connect نیاز دارد به:

• وارد حساب شده باشید؛
• دایرکتوری nodeها cache شده باشد؛
• در صورت نیاز، ابتدا panda node refresh را اجرا کنید.

نوشتار کوتاه:

panda conn

دلایل رایج:

• هنوز وارد حساب نشده‌اید؛
• دایرکتوری nodeها refresh نشده است؛
• حساب فعلی node قابل استفاده ندارد؛
• شبکه در دسترس نیست؛
• daemon اجرا نمی‌شود؛
• mode فعلی با node هدف سازگار نیست؛
• در mode auto، پروتکل پیشنهادی شروع نشد و fallback هم شکست خورد.

بررسی پیشنهادی:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

خروجی ساختاریافته:

panda status --json

نسخه کوتاه:

panda stat

doctor یک دستور تشخیصی فقط‌خواندنی است که برای مشاهده وضعیت‌های کلیدی فعلی Panda CLI استفاده می‌شود.

panda doctor
panda doctor --json

نوشتار کوتاه:

panda do

به این موارد توجه ویژه کنید:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace برای مشاهده این استفاده می‌شود که یک هدف از کدام rule، DNS action و route عبور می‌کند.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

توجه: قابلیت کامل trace به active PandaVPN packet runtime نیاز دارد. اگر runtime سازگار وجود نداشته باشد، فقط اعتبارسنجی محدود انجام می‌شود یا به legacy trace برمی‌گردد.

معمولاً دلیلش این است که service / LaunchDaemon رسمی نصب شده و در کنار آن به‌صورت دستی اجرا کرده‌اید:

sudo panda start

sudo panda start یک daemon unmanaged / خارج از مدیریت اجرا می‌کند که ممکن است هم‌زمان با daemon رسمی موارد زیر را مدیریت کند:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

اصل رسیدگی این است: فقط یک daemon را نگه دارید.

روش رایج در macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

در Linux، اگر از systemd service استفاده می‌کنید، سپس service رسمی را راه‌اندازی مجدد کنید:

sudo panda service restart
panda doctor

در macOS، اگر با .pkg نصب کرده‌اید، معمولاً اجازه دهید LaunchDaemon / helper مدیریت daemon را انجام دهد و از sudo panda start به‌عنوان روش روزانه راه‌اندازی برای مدت طولانی استفاده نکنید.

اگر فقط می‌خواهید VPN را قطع کنید، نیازی نیست از daemon خارج شوید:

panda disconnect
panda kill-switch off

اگر واقعاً می‌خواهید daemon را متوقف کنید:

sudo panda stop

تأیید:

panda status

اگر panda daemon unavailable نمایش داده شود، یعنی daemon اصلی متوقف شده است.

توجه: LaunchDaemon / helper نصب‌شده توسط macOS .pkg ممکن است توسط سیستم مدیریت شود؛ به کاربران عادی توصیه نمی‌شود سرویس را مکرراً به‌صورت دستی متوقف کنند.

panda log
panda log --lines 200
panda log --all

پاک کردن logs:

panda log clear

فعال کردن موقت debug:

panda log level debug dns,tcp --ttl 10m

بازگردانی پیش‌فرض:

panda log level reset

در سناریوی no-tunnel IPv6، ممکن است awdl0 / llw0 به حالت block بروند و باعث شوند AirDrop / Continuity موقتاً در دسترس نباشد.
معمولاً بعد از disconnect بازیابی می‌شود.

اگر همچنان غیرعادی بود، پیشنهاد می‌شود:

panda disconnect
panda kill-switch off
panda repair
panda doctor

نسخه‌های پشتیبانی‌شده می‌توانند این مورد را پیکربندی کنند:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

توضیح:

• مقدار پیش‌فرض پیشنهادی auto است؛
• پس از تغییر، hot reconnect انجام نمی‌شود؛
• برای اعمال روی TCP socket جدید، reconnect لازم است؛
• nodeهایی که TFO را پشتیبانی نمی‌کنند نباید افت محسوس در تأخیر اتصال نشان دهند.

اگر نسخه فعلی این گزینه پیکربندی را ندارد، panda config --help یا CLI help واقعی را مبنا قرار دهید.

Privacy mode را می‌توان به‌عنوان یک حالت امنیتی سخت‌گیرانه‌تر در نظر گرفت و توصیه می‌شود معادل موارد زیر باشد:

panda mode pandavpn global
panda kill-switch on

یا در حالت انتخاب خودکار پروتکل به‌صورت پیش‌فرض:

panda mode auto
panda kill-switch on

در Privacy mode توصیه می‌شود این محدودیت‌ها اعمال شود:

• از proxy mode پشتیبانی نمی‌شود؛
• از split mode پشتیبانی نمی‌شود؛
• فقط معنای VPN global مجاز است؛
• Kill-switch باید فعال باشد؛
• egress عادی مسدود می‌شود.

panda repair جامع‌تر است و ممکن است موارد زیر را تعمیر کند:

• VPN route
• DNS snapshot
• Kill-switch guard
• وضعیت‌های مرتبط با system proxy

panda proxy repair عمدتاً system proxy drift کاربر فعلی را تعمیر می‌کند.

panda repair
panda proxy repair

در Fresh install مقدار پیش‌فرض proxy system-proxy on است.
اگر کاربر به‌صورت صریح off را ذخیره کرده باشد، همان پیکربندی حفظ می‌شود.

مشاهده یا تنظیم:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

توجه: در mode auto، pandavpn و wireguard، VPN runtime ترجیح ذخیره‌شده system proxy را نادیده می‌گیرد؛ VPN companion proxy همچنان در دسترس است و از scoped egress استفاده می‌کند.

Windows system proxy تنظیم HKCU WinINET کاربر فعلی است و به per-user user-agent نیاز دارد.
اگر در یک نشست SSH یا نشست غیرتعاملی هستید، proxy repair ممکن است همیشه نتواند user-agent را به‌صورت خودکار اجرا کند.

پیشنهاد می‌شود:

panda proxy status
panda proxy repair
panda doctor

اگر هنوز اعمال نشد، در یک نشست ورود دسکتاپ دوباره امتحان کنید.

Linux Phase 1 عمدتاً از GNOME gsettings پشتیبانی می‌کند.
محیط‌هایی مانند KDE / XFCE ممکن است به‌صورت unsupported نمایش داده شوند.

این الزاماً روی PandaVPN packet runtime اثر نمی‌گذارد، اما ممکن است تجربه system proxy mode را تحت تأثیر قرار دهد.

معنای Kill-switch این است که فقط ترافیک عبوری از TUN مجاز باشد و سایر ترافیک عادی مسدود شود.

proxy mode یک حالت proxy محلی standalone است، packet VPN / TUN ندارد و محافظت معادل DNS و routing را نیز فراهم نمی‌کند. بنابراین Kill-switch از standalone proxy mode پشتیبانی نمی‌کند.

وقتی به Kill-switch نیاز دارید، استفاده کنید:

panda mode auto
panda kill-switch on

یا:

panda mode pandavpn global
panda kill-switch on

یا:

panda mode wireguard
panda kill-switch on

خیر.

Auto-connect عمدتاً best-effort connect هنگام شروع daemon / service و همچنین pending retry زمانی که شبکه هنگام شروع موقتاً در دسترس نیست را پوشش می‌دهد.

فعال کردن:

panda config auto-connect on

غیرفعال کردن:

panda config auto-connect off

این یک مکانیزم عمومی reconnect خودکار در runtime نیست.

Split rules برای مشخص کردن این استفاده می‌شود که برخی دامنه‌ها، کلمات کلیدی، regex یا IP از مسیر proxy، direct یا block عبور کنند.

فایل‌های rules:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

دستورهای رایج:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

محدودیت شناخته‌شده فعلی: پس از login، pending auto-connect که منتظر retry است به‌طور خودکار wake نمی‌شود.

پیشنهاد می‌شود پس از login به‌صورت دستی اجرا کنید:

panda connect

معمولاً نیازی نیست. تغییرات پیکربندی Split DNS به صورت hot-load اعمال می‌شود.

دستورهای رایج:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

اگر پلتفرم از برخی منابع local DNS پشتیبانی نکند، doctor یک warning نشان می‌دهد.

در نسخه‌های جدید، Windows Kill-switch از daemon-held dynamic session به persistent WFP filters ارتقا یافته است.
یعنی پس از خروج غیرعادی daemon، guard می‌تواند باقی بماند.

اما persistent WFP معادل boot-time filter نیست؛ پنجره بسیار ابتدایی راه‌اندازی همچنان در محدوده hardening بعدی قرار دارد.

معنای Kill-switch این است که فقط ترافیک عبوری از TUN مجاز باشد و سایر ترافیک عادی مسدود شود.

proxy mode یک حالت proxy محلی standalone است، packet VPN / TUN ندارد و محافظت معادل DNS و routing را نیز فراهم نمی‌کند. بنابراین Kill-switch از standalone proxy mode پشتیبانی نمی‌کند.

وقتی به Kill-switch نیاز دارید، استفاده کنید:

panda mode auto
panda kill-switch on

یا:

panda mode pandavpn global
panda kill-switch on

یا:

panda mode wireguard
panda kill-switch on

بله.

استفاده از mode auto + kill-switch on مجاز است، اما مسیر نهایی باید به PandaVPN / WireGuard resolve شود و نباید به standalone proxy برسد. در طول اتصال، اگر از WireGuard به PandaVPN fallback شود، باید guard active نیز حفظ شود و هیچ fail-open window نباید ایجاد شود.

توصیه‌شده:

panda mode auto
panda kill-switch on
panda connect
panda doctor

توصیه نمی‌شود.

Kill-switch یک گزینه برای تقویت حفاظت از حریم خصوصی است و برای قرار گرفتن در کوتاه‌ترین مسیر قابل استفاده مناسب نیست. دلایل:

• disconnect Kill-switch را خاموش نمی‌کند؛
• پس از فعال‌سازی، شبکه عادی ممکن است مسدود شود؛
• همچنین به دسترسی LAN، DNS lockdown، firewall و تفاوت‌های مجوزهای پلتفرم مربوط است؛
• کاربران جدید ممکن است به اشتباه فکر کنند شبکه خراب شده است.

به کاربران جدید توصیه می‌شود ابتدا این موارد را کامل کنند:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

پس از اطمینان از اینکه اتصال به‌درستی کار می‌کند، در صورت نیاز فعال کنید:

panda kill-switch on
panda doctor

خیر.

این رفتار مورد انتظار است. Kill-switch یک کلید امنیتی پایدار است و disconnect فقط runtime فعلی را قطع می‌کند؛ Kill-switch را به‌طور خودکار خاموش نمی‌کند.

برای بازگرداندن دسترسی عادی به شبکه، باید اجرا کنید:

panda kill-switch off

در حالت strict، Kill-switch ترافیک عادی LAN / WAN را مسدود می‌کند.
نسخه‌هایی که از allow-lan پشتیبانی می‌کنند می‌توانند دسترسی محدود LAN را فعال کنند:

panda kill-switch allow-lan on

برای بستن اجازه LAN:

panda kill-switch allow-lan off

نکته: allow-lan به private network / link-local / ULA unicast و v1 discovery اجازه می‌دهد، اما LAN DNS همچنان باید مسدود بماند تا از دور زدن Panda DNS lockdown جلوگیری شود.