Veelgestelde vragen over PandaVPN CLI

Panda CLI is de command-lineclient van Panda en ondersteunt het volgende via de terminal:

• Inloggen en accountbeheer
• Nodes vernieuwen en verbinding maken met nodes
• Schakelen tussen PandaVPN / Proxy / WireGuard / Auto-modi
• Systeemproxy configureren
• Split rules voor het splitsen van verkeer
• Split DNS configureren
• Kill-switch-bescherming
• Auto-connect
• Logboeken en diagnostiek

Het is geschikt voor interne testgebruikers, ontwikkelaars, gevorderde gebruikers en testscenario’s waarvoor gescripte bewerkingen nodig zijn.

PandaVPN CLI is beter geschikt voor geautomatiseerd testen, probleemoplossing op afstand en verbindingen via scripts.

Panda Desktop en PandaVPN CLI zijn twee bedieningsinterfaces voor dezelfde PandaVPN daemon en delen dezelfde verbindingsstatus, zodat ze samen kunnen worden gebruikt.

Voer oudere desktopapps, zoals Panda-Qt of de oude Linux AppImage, niet tegelijk met PandaVPN CLI uit, omdat dit conflicten in de netwerkconfiguratie kan veroorzaken.

Sommige mogelijkheden vereisen machtigingen op systeemniveau, bijvoorbeeld:

• TUN / WireGuard-netwerkinterfaces maken
• DNS wijzigen
• De systeemproxy instellen
• De Kill-switch toepassen
• Routes herstellen
• De packet VPN runtime beheren

Daarom voert de CLI deze bewerkingen uit via de daemon / service die bij het platform hoort.

Daemon-vormen op verschillende platforms:

Het belangrijkste verschil is: op Windows en macOS wordt de service meestal automatisch geïnstalleerd via het installatiepakket, terwijl gebruikers op Linux meestal handmatig sudo panda service install moeten uitvoeren.

Op Windows hoef je het volgende alleen in PowerShell als administrator uit te voeren als je geen installatiepakket gebruikt en de binary handmatig plaatst:

panda service install windows

Op macOS is dit alleen nodig bij ontwikkeling en debugging, wanneer het .pkg-installatiepakket niet wordt gebruikt, of wanneer de daemon niet automatisch start:

sudo panda start

Op Linux raden we aan:

sudo panda service install
panda service status

Ja, ze zijn hetzelfde. Het verschil zit vooral in de architectuur van het installatiepakket dat je downloadt.

De installatiestappen, opdrachten en de manier waarop de service wordt beheerd zijn hetzelfde. Het installatiepakket verhoogt automatisch de rechten en registreert Windows Service.

Ja, ze zijn hetzelfde. Het belangrijkste verschil is de architectuur van het gedownloade .pkg-pakket.

De installatiestappen zijn hetzelfde. Na installatie met .pkg wordt LaunchDaemon / helper meestal automatisch geïnstalleerd en gestart.

Voor wereldwijde gebruikers raden we aan om standaard mode auto te gebruiken:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Als een nieuwe installatie al standaard mode auto gebruikt, kun je ook een eenvoudigere versie gebruiken:

panda login
panda node refresh
panda connect
panda doctor

Bijbehorende verkorte versie:

panda login
panda no re
panda conn
panda do

De officiële downloadpagina en de onboarding voor beginners zouden eerst de volledige opdrachten moeten tonen; verkorte vormen kunnen later worden getoond in geavanceerde documentatie of uitleg over de interactieve modus.

gfwlist is een specifieke bron voor split-regels en is niet geschikt als standaardmodus voor wereldwijde gebruikers.

Voor wereldwijde gebruikers wordt standaard aanbevolen:

panda mode auto

Of gebruik de globale modus van PandaVPN vast:

panda mode pandavpn global

gfwlist kan behouden blijven in de documentatie voor geavanceerde split routing, maar het wordt niet aanbevolen om het te tonen op het eerste scherm van de officiële website, in de Hero van de downloadpagina of in de quick start voor beginners.

Het wordt aanbevolen om eerst de verbinding te verbreken en Kill-switch uit te schakelen:

panda disconnect
panda kill-switch off

Bij een handmatige upgrade of een Linux service-upgrade wordt aanbevolen ook de daemon te stoppen:

sudo panda stop

Bij het upgraden van macOS en Windows met een installer verwerkt de installer meestal automatisch de service-installatie en herstart. Nadat de upgrade is voltooid, wordt aanbevolen om uit te voeren:

panda version
panda doctor
panda connect

Na een handmatige Linux-upgrade wordt aanbevolen:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Dit betekent een bare group selector; het zet de VIP / SVIP / FREE tab niet vast, maar laat de API de geschikte tab kiezen.

panda connect svip us

Dit betekent dat us vast onder de SVIP tab wordt gebruikt.

De vorm met dubbele punt is equivalent en geschikt voor scripts:

panda connect svip:us

favorite tab is momenteel een flat favorite channel list en ondersteunt geen favorite group smart connect zoals connect fav us; gebruik voor favorite:

panda connect fav

of:

panda connect --node <NODE_ID>

Ondersteunt voornamelijk:

Veelgebruikte instellingen:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

openvpn wordt momenteel niet aanbevolen om als hoofdmodus in gebruikersdocumentatie te tonen.

Aanbeveling:

Let op: mode proxy en Kill-switch sluiten elkaar uit.

mode auto is de nieuwe standaardmodus.

Het gedrag is:

• API node / smart connect kiest de runtime met prioriteit op basis van meta.protocol;
• Als WireGuard wordt aanbevolen, wordt WireGuard eerst geprobeerd;
• Als WireGuard-metadata, adrestoewijzing, runtime-start, handshake of connectiviteitscontrole mislukt, valt het terug op PandaVPN global dat is gecompileerd uit SS payload;
• SS, OPENVPN, onbekende of ontbrekende protocollen gebruiken PandaVPN global als fallback;
• mode auto accepteert geen policy-parameter, en de opgeloste runtime is altijd global.

Aanbevolen voor nieuwe gebruikers:

panda mode auto
panda connect

direct-region is de aanbevolen schrijfwijze; bypass-region / bypass zijn compatibiliteitsaliases.

Bijvoorbeeld:

panda mode pandavpn direct-region in

Is gelijk aan de compatibiliteitsalias:

panda mode pandavpn bypass-region in

De nieuwe versie ondersteunt een completere split profile-syntaxis:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Veelgebruikte tokens:

Voorbeelden:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

Het wordt niet aanbevolen om lange opdrachten in beginnersdocumentatie te tonen; ze zijn geschikter voor geavanceerde split-documentatie.

Alle nodes bekijken:

panda node list

Vernieuwen en daarna opnieuw bekijken:

panda node refresh
panda node list

Korte vorm:

panda no re
panda no list

Een specifieke regio of groep bekijken:

panda node list us
panda node list jp
panda node list de

Nodegroepen bekijken:

panda node group

Details van een specifieke groep bekijken:

panda node group show us

Zoek eerst naar de node:

panda node list us

Maak daarna verbinding:

panda connect --node 1822

Je kunt ook op naam verbinden:

panda connect --node "US Node"

Verkorte vorm:

panda no list us
panda conn --node 1822

panda connect gebruikt het laatste doel.
Als er geen eerder doel is, probeert het global smart connect.

Smart connect vereist:

• dat je bent ingelogd;
• dat de node-directory is gecachet;
• voer indien nodig eerst panda node refresh uit.

Korte vorm:

panda conn

Veelvoorkomende oorzaken:

• je bent nog niet ingelogd;
• de node-directory is niet vernieuwd;
• het huidige account heeft geen beschikbare nodes;
• het netwerk is niet beschikbaar;
• de daemon draait niet;
• de huidige mode is niet compatibel met de doel-node;
• in mode auto kon het aanbevolen protocol niet starten en fallback mislukte ook.

Aanbevolen controle:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Gestructureerde uitvoer:

panda status --json

Verkorte vorm:

panda stat

doctor is een alleen-lezen diagnoseopdracht om de huidige kernstatus van Panda CLI te bekijken.

panda doctor
panda doctor --json

Korte vorm:

panda do

Let vooral op:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace wordt gebruikt om te zien welke regel, DNS action en route een doel zal gebruiken.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Let op: volledige trace-functionaliteit vereist active PandaVPN packet runtime. Zonder compatibele runtime is alleen beperkte validatie mogelijk, of fallback naar legacy trace.

Dit gebeurt meestal omdat de officiële service / LaunchDaemon is geïnstalleerd en daarnaast handmatig is uitgevoerd:

sudo panda start

sudo panda start start een unmanaged / niet-beheerde daemon, die tegelijk met de officiële daemon het volgende kan beheren:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Het uitgangspunt is: behoud slechts één daemon.

Veelgebruikte aanpak op macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

Op Linux, als je systemd service gebruikt, herstart daarna de officiële service:

sudo panda service restart
panda doctor

Op macOS, als je via .pkg hebt geïnstalleerd, laat LaunchDaemon / helper meestal de daemon beheren en gebruik sudo panda start niet langdurig als dagelijkse startmethode.

Als je alleen de VPN wilt verbreken, hoef je de daemon niet af te sluiten:

panda disconnect
panda kill-switch off

Als je de daemon echt wilt stoppen:

sudo panda stop

Bevestigen:

panda status

Als panda daemon unavailable wordt weergegeven, betekent dit dat de hoofd-daemon is gestopt.

Let op: de LaunchDaemon / helper die via macOS .pkg is geïnstalleerd, kan door het systeem worden beheerd; gewone gebruikers wordt afgeraden de service vaak handmatig te stoppen.

panda log
panda log --lines 200
panda log --all

Logs wissen:

panda log clear

Debug tijdelijk inschakelen:

panda log level debug dns,tcp --ttl 10m

Standaard herstellen:

panda log level reset

In een no-tunnel IPv6-scenario kunnen awdl0 / llw0 worden geblockt, waardoor AirDrop / Continuity tijdelijk niet beschikbaar zijn.
Meestal herstelt dit na disconnect.

Als het nog steeds afwijkend is, aanbevolen:

panda disconnect
panda kill-switch off
panda repair
panda doctor

Ondersteunde versies kunnen dit configureren:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Toelichting:

• Standaard wordt auto aanbevolen;
• Na wijziging vindt er geen hot reconnect plaats;
• Een reconnect is nodig voordat dit effect heeft op nieuwe TCP socket;
• Nodes die TFO niet ondersteunen, zouden geen duidelijke regressie in verbindingslatentie moeten tonen.

Als de huidige versie deze configuratieoptie niet heeft, volg dan panda config --help of de daadwerkelijke CLI help.

Privacy mode kan worden gezien als een strengere beveiligingsmodus en wordt aanbevolen als equivalent aan:

panda mode pandavpn global
panda kill-switch on

Of, bij de standaard automatische protocolselectie:

panda mode auto
panda kill-switch on

In Privacy mode worden de volgende beperkingen aanbevolen:

• Ondersteunt geen proxy mode;
• Ondersteunt geen split mode;
• Staat alleen VPN global-semantiek toe;
• Kill-switch moet ingeschakeld zijn;
• Normale egress wordt geblokkeerd.

panda repair is uitgebreider en kan het volgende repareren:

• VPN route
• DNS snapshot
• Kill-switch guard
• system proxy-gerelateerde status

panda proxy repair repareert voornamelijk system proxy drift voor de huidige gebruiker.

panda repair
panda proxy repair

Bij een Fresh install is de standaard proxy system-proxy on.
Als de gebruiker expliciet off heeft opgeslagen, blijft die configuratie behouden.

Bekijken of instellen:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Let op: onder mode auto, pandavpn en wireguard negeert de VPN runtime de opgeslagen system proxy-voorkeur; de VPN companion proxy blijft beschikbaar en gebruikt scoped egress.

Windows system proxy is de HKCU WinINET-instelling van de huidige gebruiker en vereist een per-user user-agent.
Als je in een SSH- of niet-interactieve sessie zit, kan proxy repair de user-agent mogelijk niet altijd automatisch starten.

Aanbevolen:

panda proxy status
panda proxy repair
panda doctor

Als het nog steeds niet werkt, probeer het opnieuw in een desktop login session.

Linux Phase 1 ondersteunt voornamelijk GNOME gsettings.
Omgevingen zoals KDE / XFCE kunnen als unsupported worden weergegeven.

Dit heeft niet per se invloed op PandaVPN packet runtime, maar kan de ervaring met system proxy mode beïnvloeden.

De betekenis van Kill-switch is dat alleen verkeer via TUN wordt toegestaan, terwijl ander normaal verkeer wordt geblokkeerd.

proxy mode is een standalone lokale proxy-modus, zonder packet VPN / TUN en zonder gelijkwaardige DNS- en routingbescherming. Daarom ondersteunt Kill-switch geen standalone proxy mode.

Wanneer je Kill-switch nodig hebt, gebruik:

panda mode auto
panda kill-switch on

Of:

panda mode pandavpn global
panda kill-switch on

Of:

panda mode wireguard
panda kill-switch on

Nee.

Auto-connect dekt vooral best-effort connect wanneer de daemon / service start, plus pending retry wanneer het netwerk bij het opstarten tijdelijk niet beschikbaar is.

Inschakelen:

panda config auto-connect on

Uitschakelen:

panda config auto-connect off

Het is geen algemeen automatisch herverbindingsmechanisme tijdens runtime.

Split rules worden gebruikt om aan te geven dat bepaalde domeinen, trefwoorden, regex of IP’s via proxy, direct of block gaan.

Regelbestanden:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Veelgebruikte opdrachten:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Huidige bekende beperking: na login wordt pending auto-connect dat op retry wacht niet automatisch wake.

Het wordt aanbevolen om na login handmatig uit te voeren:

panda connect

Meestal niet. Wijzigingen in de Split DNS-configuratie worden hot-loaded.

Veelgebruikte opdrachten:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Als het platform bepaalde local DNS-bronnen niet ondersteunt, toont doctor een warning.

In nieuwe versies is Windows Kill-switch geüpgraded van daemon-held dynamic session naar persistent WFP filters.
Dit betekent dat de guard behouden kan blijven nadat de daemon abnormaal afsluit.

Maar persistent WFP is niet hetzelfde als boot-time filter; het zeer vroege opstartvenster valt nog steeds binnen de toekomstige hardening-scope.

De betekenis van Kill-switch is dat alleen verkeer via TUN wordt toegestaan, terwijl ander normaal verkeer wordt geblokkeerd.

proxy mode is een standalone lokale proxy-modus, zonder packet VPN / TUN en zonder gelijkwaardige DNS- en routingbescherming. Daarom ondersteunt Kill-switch geen standalone proxy mode.

Wanneer je Kill-switch nodig hebt, gebruik:

panda mode auto
panda kill-switch on

Of:

panda mode pandavpn global
panda kill-switch on

Of:

panda mode wireguard
panda kill-switch on

Ja.

mode auto + kill-switch on is toegestaan, maar het uiteindelijke pad moet resolve naar PandaVPN / WireGuard en mag niet terugvallen op standalone proxy. Tijdens het verbinden moet, als er een fallback van WireGuard naar PandaVPN plaatsvindt, guard active ook behouden blijven en mag er geen fail-open window ontstaan.

Aanbevolen:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Niet aanbevolen.

Kill-switch is een optie voor verbeterde privacybescherming en is niet geschikt voor het kortste bruikbare pad. Redenen:

• disconnect schakelt Kill-switch niet uit;
• Na inschakelen kan het normale netwerk worden geblokkeerd;
• Het heeft ook te maken met LAN-toegang, DNS lockdown, firewall en verschillen in platformmachtigingen;
• Nieuwe gebruikers kunnen ten onrechte denken dat het netwerk kapot is.

Nieuwe gebruikers wordt aanbevolen eerst dit te voltooien:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Schakel het pas in wanneer bevestigd is dat de verbinding normaal werkt:

panda kill-switch on
panda doctor

Nee.

Dit is verwacht gedrag. Kill-switch is een blijvende veiligheidsschakelaar, en disconnect verbreekt alleen de huidige runtime; het schakelt Kill-switch niet automatisch uit.

Om normale netwerktoegang te herstellen, voer je uit:

panda kill-switch off

In de strikte modus blokkeert Kill-switch normaal LAN / WAN-verkeer.
Versies die allow-lan ondersteunen kunnen beperkte LAN-toegang inschakelen:

panda kill-switch allow-lan on

LAN-toelating uitschakelen:

panda kill-switch allow-lan off

Let op: allow-lan staat private network / link-local / ULA unicast en v1 discovery toe, maar LAN DNS moet nog steeds worden geblokkeerd om omzeiling van Panda DNS lockdown te voorkomen.