Вопросы и ответы PandaVPN CLI

Panda CLI — это клиент командной строки Panda, который поддерживает выполнение следующих действий через терминал:

• Вход и управление аккаунтом
• Обновление узлов и подключение к узлам
• Переключение режимов PandaVPN / Proxy / WireGuard / Auto
• Настройка системного прокси
• Правила Split rules для разделения трафика
• Настройка Split DNS
• Защита Kill-switch
• Auto-connect
• Журналы и диагностика

Он подходит для внутренних тестировщиков, разработчиков, опытных пользователей и тестовых сценариев, требующих скриптовых операций.

PandaVPN CLI лучше подходит для автоматизированного тестирования, удаленного устранения неполадок и подключений с помощью сценариев.

Panda Desktop и PandaVPN CLI — это два интерфейса управления одним и тем же PandaVPN daemon, использующие общее состояние подключения, поэтому их можно использовать вместе.

Не запускайте устаревшие настольные приложения, такие как Panda-Qt или старый Linux AppImage, одновременно с PandaVPN CLI, так как это может вызвать конфликты сетевой конфигурации.

Некоторые возможности требуют разрешений на уровне системы, например:

• Создание сетевых интерфейсов TUN / WireGuard
• Изменение DNS
• Настройка системного прокси
• Применение Kill-switch
• Исправление маршрутов
• Управление packet VPN runtime

Поэтому CLI выполняет эти операции через соответствующий платформе daemon / service.

Формы daemon на разных платформах:

Главное отличие: в Windows и macOS служба обычно устанавливается автоматически через установочный пакет, а в Linux пользователю обычно нужно вручную выполнить sudo panda service install.

В Windows только если вы не используете установочный пакет и вручную размещаете бинарный файл, нужно выполнить в PowerShell от имени администратора:

panda service install windows

В macOS это нужно только при разработке и отладке, если не используется установочный пакет .pkg, или если daemon не запускается автоматически:

sudo panda start

В Linux рекомендуется:

sudo panda service install
panda service status

Да, они одинаковые. Основное отличие — в архитектуре скачиваемого установочного пакета.

Шаги установки, команды и способ управления службой одинаковы. Установочный пакет автоматически повысит привилегии и зарегистрирует Windows Service.

Да, одинаковые. Основное отличие — архитектура загружаемого пакета .pkg.

Шаги установки одинаковые. После установки через .pkg LaunchDaemon / helper обычно устанавливается и запускается автоматически.

Для пользователей по всему миру рекомендуется по умолчанию использовать mode auto:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

Если после новой установки mode auto уже используется по умолчанию, можно использовать более короткий вариант:

panda login
panda node refresh
panda connect
panda doctor

Соответствующая сокращенная версия:

panda login
panda no re
panda conn
panda do

На официальной странице загрузки и в руководстве для новичков рекомендуется сначала показывать полные команды; сокращения можно показывать позже в расширенной документации или в описании интерактивного режима.

gfwlist — это специфический источник правил разделения трафика, который не подходит в качестве режима по умолчанию для пользователей по всему миру.

Для глобальных пользователей по умолчанию рекомендуется:

panda mode auto

Или постоянно использовать глобальный режим PandaVPN:

panda mode pandavpn global

gfwlist можно оставить в документации по расширенному split routing, но не рекомендуется показывать его на первом экране официального сайта, в Hero-блоке страницы загрузки или в быстром старте для новичков.

Рекомендуется сначала отключиться и выключить Kill-switch:

panda disconnect
panda kill-switch off

Если это ручное обновление или обновление Linux service, рекомендуется также остановить daemon:

sudo panda stop

При обновлении macOS и Windows через установщик он обычно автоматически обрабатывает установку service и перезапуск. После завершения обновления рекомендуется выполнить:

panda version
panda doctor
panda connect

После ручного обновления в Linux рекомендуется:

sudo panda service install
sudo panda service restart
panda version
panda doctor

panda connect us

Означает bare group selector: VIP / SVIP / FREE tab не фиксируется, а API выбирает подходящий tab.

panda connect svip us

Означает фиксированное использование us в SVIP tab.

Форма с двоеточием эквивалентна и подходит для скриптов:

panda connect svip:us

favorite tab сейчас является flat favorite channel list и не поддерживает favorite group smart connect вроде connect fav us; для favorite используйте:

panda connect fav

или:

panda connect --node <NODE_ID>

В основном поддерживает:

Частые настройки:

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

В настоящее время не рекомендуется показывать openvpn как основной режим в пользовательской документации.

Рекомендация:

Примечание: mode proxy и Kill-switch взаимоисключают друг друга.

mode auto — это режим по умолчанию в новой версии.

Его поведение:

• API node / smart connect приоритетно выбирает runtime на основе meta.protocol;
• Если рекомендован WireGuard, сначала будет попытка использовать WireGuard;
• Если метаданные WireGuard, выделение адреса, запуск runtime, handshake или проверка связности завершатся неудачно, произойдет возврат к PandaVPN global, скомпилированному из SS payload;
• SS, OPENVPN, неизвестные или отсутствующие протоколы будут использовать PandaVPN global как fallback;
• mode auto не принимает параметр policy, а разрешенный runtime всегда равен global.

Рекомендуется для новых пользователей:

panda mode auto
panda connect

direct-region — рекомендуемая запись; bypass-region / bypass — совместимые псевдонимы.

Например:

panda mode pandavpn direct-region in

Эквивалентно совместимому псевдониму:

panda mode pandavpn bypass-region in

Новая версия поддерживает более полный синтаксис split profile:

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Частые token:

Примеры:

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

В документации для новичков не рекомендуется показывать длинные команды; они лучше подходят для расширенной документации по split.

Посмотреть все узлы:

panda node list

Обновить и посмотреть снова:

panda node refresh
panda node list

Короткая запись:

panda no re
panda no list

Посмотреть определённый регион или группу:

panda node list us
panda node list jp
panda node list de

Посмотреть группы узлов:

panda node group

Посмотреть детали определённой группы:

panda node group show us

Сначала найдите node:

panda node list us

Затем подключитесь:

panda connect --node 1822

Также можно подключиться по имени:

panda connect --node "US Node"

Короткая запись:

panda no list us
panda conn --node 1822

panda connect использует последнюю цель.
Если предыдущей цели нет, будет попытка global smart connect.

Для Smart connect требуется:

• вы вошли в аккаунт;
• каталог узлов закэширован;
• при необходимости сначала выполните panda node refresh.

Короткая запись:

panda conn

Частые причины:

• вы ещё не вошли в аккаунт;
• каталог узлов не обновлён;
• у текущего аккаунта нет доступных узлов;
• сеть недоступна;
• daemon не запущен;
• текущий mode несовместим с целевым узлом;
• в mode auto рекомендуемый протокол не запустился, и fallback тоже завершился неудачно.

Рекомендуемая проверка:

panda account
panda node refresh
panda node list
panda mode
panda doctor
panda log --lines 200

panda status

Структурированный вывод:

panda status --json

Короткая запись:

panda stat

doctor — это диагностическая команда только для чтения, используемая для просмотра текущих ключевых состояний Panda CLI.

panda doctor
panda doctor --json

Короткая запись:

panda do

Обратите особое внимание на:

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace используется, чтобы посмотреть, по какому правилу, DNS action и route пойдёт конкретная цель.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Примечание: полная возможность trace требует active PandaVPN packet runtime. Без совместимого runtime доступна только ограниченная проверка или fallback к legacy trace.

Обычно это происходит потому, что установлен официальный service / LaunchDaemon, а также вручную была выполнена команда:

sudo panda start

sudo panda start запускает unmanaged / неуправляемый daemon, который может одновременно с официальным daemon управлять:

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Принцип решения: оставьте только один daemon.

Обычные действия для macOS / Linux:

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

В Linux, если используется systemd service, затем перезапустите официальный service:

sudo panda service restart
panda doctor

В macOS, если установка выполнена через .pkg, обычно следует позволить LaunchDaemon / helper управлять daemon и не использовать sudo panda start длительно как ежедневный способ запуска.

Если вы хотите только отключить VPN, выходить из daemon не нужно:

panda disconnect
panda kill-switch off

Если действительно нужно остановить daemon:

sudo panda stop

Проверка:

panda status

Если отображается panda daemon unavailable, это означает, что основной daemon остановлен.

Примечание: LaunchDaemon / helper, установленный через macOS .pkg, может управляться системой; обычным пользователям не рекомендуется часто вручную останавливать службу.

panda log
panda log --lines 200
panda log --all

Очистить logs:

panda log clear

Временно включить debug:

panda log level debug dns,tcp --ttl 10m

Восстановить настройки по умолчанию:

panda log level reset

В сценарии no-tunnel IPv6 awdl0 / llw0 могут быть block, из-за чего AirDrop / Continuity временно недоступны.
Обычно всё восстанавливается после disconnect.

Если проблема сохраняется, рекомендуется:

panda disconnect
panda kill-switch off
panda repair
panda doctor

В поддерживаемых версиях это можно настроить:

panda config tcp-fast-open auto
panda config tcp-fast-open on
panda config tcp-fast-open off

Пояснение:

• По умолчанию рекомендуется auto;
• После изменения hot reconnect не выполняется;
• Чтобы настройка подействовала на новые TCP socket, требуется reconnect;
• Nodes без поддержки TFO не должны показывать заметное ухудшение задержки подключения.

Если в текущей версии нет этой настройки, ориентируйтесь на panda config --help или фактический CLI help.

Privacy mode можно понимать как более строгий режим безопасности; рекомендуется считать его эквивалентным:

panda mode pandavpn global
panda kill-switch on

Или при стандартном автоматическом выборе протокола:

panda mode auto
panda kill-switch on

В Privacy mode рекомендуются следующие ограничения:

• proxy mode не поддерживается;
• split mode не поддерживается;
• Разрешается только семантика VPN global;
• Kill-switch должен быть включен;
• Обычный egress блокируется.

panda repair более комплексная команда и может исправить:

• VPN route
• DNS snapshot
• Kill-switch guard
• состояния, связанные с system proxy

panda proxy repair в основном исправляет system proxy drift текущего пользователя.

panda repair
panda proxy repair

При Fresh install по умолчанию используется proxy system-proxy on.
Если пользователь явно сохранил off, эта конфигурация будет сохранена.

Посмотреть или настроить:

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Примечание: в mode auto, pandavpn и wireguard VPN runtime игнорирует сохранённое предпочтение system proxy; VPN companion proxy остаётся доступным и использует scoped egress.

Windows system proxy — это настройка HKCU WinINET текущего пользователя, для которой требуется per-user user-agent.
Если вы находитесь в SSH или неинтерактивной сессии, proxy repair не всегда сможет автоматически запустить user-agent.

Рекомендуется:

panda proxy status
panda proxy repair
panda doctor

Если всё ещё не работает, повторите попытку в сессии входа на рабочий стол.

Linux Phase 1 в основном поддерживает GNOME gsettings.
Среды KDE / XFCE и подобные могут отображаться как unsupported.

Это не обязательно влияет на PandaVPN packet runtime, но может повлиять на работу в system proxy mode.

Смысл Kill-switch в том, что разрешается только трафик через TUN, а другой обычный трафик блокируется.

proxy mode — это standalone режим локального proxy, без packet VPN / TUN и без эквивалентной защиты DNS и маршрутизации. Поэтому Kill-switch не поддерживает standalone proxy mode.

Когда нужен Kill-switch, используйте:

panda mode auto
panda kill-switch on

Или:

panda mode pandavpn global
panda kill-switch on

Или:

panda mode wireguard
panda kill-switch on

Нет.

Auto-connect в основном охватывает best-effort connect при запуске daemon / service, а также pending retry, когда при запуске сеть временно недоступна.

Включить:

panda config auto-connect on

Выключить:

panda config auto-connect off

Это не общий механизм автоматического переподключения во время runtime.

Split rules используются, чтобы указать, что определённые домены, ключевые слова, regex или IP идут через proxy, direct или block.

Файлы правил:

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Частые команды:

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Текущее известное ограничение: после login ожидающий retry pending auto-connect не будет автоматически wake.

После login рекомендуется вручную выполнить:

panda connect

Обычно нет. Изменения конфигурации Split DNS применяются через hot-load.

Частые команды:

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Если платформа не поддерживает некоторые источники local DNS, doctor покажет warning.

В новых версиях Windows Kill-switch был обновлён с daemon-held dynamic session до persistent WFP filters.
Это означает, что guard может сохраняться после аварийного выхода daemon.

Но persistent WFP не равен boot-time filter; самое раннее окно запуска всё ещё относится к будущему hardening.

Смысл Kill-switch в том, что разрешается только трафик через TUN, а другой обычный трафик блокируется.

proxy mode — это standalone режим локального proxy, без packet VPN / TUN и без эквивалентной защиты DNS и маршрутизации. Поэтому Kill-switch не поддерживает standalone proxy mode.

Когда нужен Kill-switch, используйте:

panda mode auto
panda kill-switch on

Или:

panda mode pandavpn global
panda kill-switch on

Или:

panda mode wireguard
panda kill-switch on

Да.

mode auto + kill-switch on разрешен, но конечный путь должен resolve в PandaVPN / WireGuard и не должен попадать в standalone proxy. Во время подключения, если происходит fallback с WireGuard на PandaVPN, guard active также должен сохраняться, и не должно появляться fail-open window.

Рекомендуется:

panda mode auto
panda kill-switch on
panda connect
panda doctor

Не рекомендуется.

Kill-switch — это опция усиленной защиты приватности, и её не стоит включать в самый короткий рабочий путь. Причины:

• disconnect не отключает Kill-switch;
• После включения обычная сеть может быть заблокирована;
• Также это связано с доступом к LAN, DNS lockdown, firewall и различиями в разрешениях платформ;
• Новые пользователи могут ошибочно подумать, что сеть сломалась.

Новым пользователям рекомендуется сначала выполнить:

panda login
panda node refresh
panda mode auto
panda connect
panda doctor

После подтверждения, что подключение работает нормально, включайте при необходимости:

panda kill-switch on
panda doctor

Нет.

Это ожидаемое поведение. Kill-switch — это постоянный защитный переключатель, а disconnect только отключает текущий runtime и не выключает Kill-switch автоматически.

Чтобы восстановить обычный доступ к сети, выполните:

panda kill-switch off

В строгом режиме Kill-switch блокирует обычный трафик LAN / WAN.
Версии с поддержкой allow-lan могут включить ограниченный доступ к LAN:

panda kill-switch allow-lan on

Отключить разрешение LAN:

panda kill-switch allow-lan off

Примечание: allow-lan разрешает private network / link-local / ULA unicast и v1 discovery, но LAN DNS по-прежнему должен блокироваться, чтобы избежать обхода Panda DNS lockdown.