FAQ PandaVPN CLI

Panda CLI est le client en ligne de commande de Panda et permet d’effectuer les opérations suivantes depuis le terminal :

• Connexion et gestion du compte
• Actualisation des nœuds et connexion aux nœuds
• Basculement entre les modes PandaVPN / Proxy / WireGuard / Auto
• Configuration du proxy système
• Règles Split rules pour la répartition du trafic
• Configuration de Split DNS
• Protection Kill-switch
• Auto-connect
• Journaux et diagnostics

Il convient aux utilisateurs de tests internes, aux développeurs, aux utilisateurs avancés et aux scénarios de test nécessitant des opérations scriptées.

Panda CLI fonctionne via la ligne de commande et convient mieux à :

• Tests automatisés
• Dépannage à distance
• Connexions scriptées
• Affichage d’informations de diagnostic détaillées
• Validation des comportements de bas niveau tels que Kill-switch, DNS, routage et proxy système

Le client de bureau convient mieux aux opérations graphiques quotidiennes des utilisateurs ordinaires.

Remarque : il n’est pas recommandé que l’ancien client de bureau Qt et CLI gèrent en même temps le VPN / proxy système, afin d’éviter qu’ils n’écrasent mutuellement leurs configurations.

Certaines capacités nécessitent des autorisations au niveau du système, par exemple :

• Créer des interfaces réseau TUN / WireGuard
• Modifier le DNS
• Configurer le proxy système
• Appliquer le Kill-switch
• Réparer les routes
• Gérer le packet VPN runtime

Le CLI exécute donc ces opérations via le daemon / service correspondant à la plateforme.

Formes de daemon selon les plateformes :

La différence principale est la suivante : sous Windows et macOS, le service est généralement installé automatiquement via le paquet d’installation, tandis que sous Linux, l’utilisateur doit généralement exécuter manuellement sudo panda service install.

Sous Windows, vous ne devez exécuter la commande suivante dans PowerShell en tant qu’administrateur que si vous n’utilisez pas le paquet d’installation et placez manuellement le binaire :

panda service install windows

Sous macOS, cela n’est nécessaire qu’en développement et débogage, si vous n’utilisez pas le paquet d’installation .pkg, ou si le daemon ne démarre pas automatiquement :

sudo panda start

Sous Linux, nous recommandons :

sudo panda service install
panda service status

Oui, elles sont identiques. La différence principale réside dans l’architecture du package d’installation téléchargé.

Les étapes d’installation, les commandes et la méthode de gestion du service sont identiques. Le programme d’installation élèvera automatiquement les privilèges et enregistrera Windows Service.

Prend principalement en charge :

Paramètres courants :

panda mode auto
panda mode pandavpn global
panda mode proxy global
panda mode wireguard

Il n’est actuellement pas recommandé de présenter openvpn comme mode principal dans la documentation utilisateur.

Recommandation :

Remarque : mode proxy et Kill-switch sont mutuellement exclusifs.

mode auto est le nouveau mode par défaut.

Son comportement est le suivant :

• API node / smart connect choisit en priorité le runtime selon meta.protocol ;
• Si WireGuard est recommandé, WireGuard sera essayé en premier ;
• Si les métadonnées WireGuard, l’attribution d’adresse, le démarrage du runtime, le handshake ou le test de connectivité échouent, il revient à PandaVPN global compilé depuis le SS payload ;
• SS, OPENVPN ainsi que les protocoles inconnus ou manquants utilisent PandaVPN global comme solution de secours ;
• mode auto n’accepte pas de paramètre policy, et le runtime résolu est toujours global.

Recommandé pour les nouveaux utilisateurs :

panda mode auto
panda connect

direct-region est la syntaxe recommandée ; bypass-region / bypass sont des alias de compatibilité.

Par exemple :

panda mode pandavpn direct-region in

Équivaut à l’alias de compatibilité :

panda mode pandavpn bypass-region in

La nouvelle version prend en charge une syntaxe split profile plus complète :

panda mode pandavpn split default direct proxy-region <cc>
panda mode pandavpn split default proxy direct-region <cc>

Tokens courants :

Exemples :

panda mode pandavpn split default direct proxy-region us custom-rules
panda mode pandavpn split default proxy direct-region in direct-lan custom-rules

Il n’est pas recommandé d’afficher les commandes longues dans la documentation pour débutants ; elles conviennent mieux à la documentation split avancée.

doctor est une commande de diagnostic en lecture seule, utilisée pour afficher les états clés actuels de Panda CLI.

panda doctor
panda doctor --json

Forme courte :

panda do

À surveiller en priorité :

runtime
kill_switch
selected_node
vpn_dns
dns_lockdown
split_policy
system_proxy_state
vpn_routes
last_error

trace sert à voir quelle règle, DNS action et route un objectif utilisera.

panda trace example.com:443
panda trace 8.8.8.8:53 --json

Remarque : la capacité trace complète nécessite active PandaVPN packet runtime. Sans runtime compatible, seule une validation limitée est possible, ou un retour à legacy trace.

Cela se produit généralement parce que le service / LaunchDaemon officiel est installé, et que vous avez aussi exécuté manuellement :

sudo panda start

sudo panda start démarre un daemon unmanaged / non géré, qui peut gérer en même temps que le daemon officiel :

• VPN route
• DNS
• TUN
• system proxy
• Kill-switch

Le principe de traitement est : ne conserver qu’un seul daemon.

Traitement courant sous macOS / Linux :

panda disconnect
panda kill-switch off
sudo panda stop
panda repair
panda doctor

Sous Linux, si vous utilisez systemd service, redémarrez ensuite le service officiel :

sudo panda service restart
panda doctor

Sous macOS, si l’installation utilise .pkg, laissez généralement LaunchDaemon / helper gérer le daemon, et n’utilisez pas sudo panda start à long terme comme méthode de démarrage quotidienne.

Si vous voulez seulement déconnecter le VPN, il n’est pas nécessaire de quitter le daemon :

panda disconnect
panda kill-switch off

Si vous voulez vraiment arrêter le daemon :

sudo panda stop

Confirmer :

panda status

Si panda daemon unavailable s’affiche, cela signifie que le daemon principal est arrêté.

Remarque : le LaunchDaemon / helper installé par le .pkg macOS peut être géré par le système ; il n’est pas conseillé aux utilisateurs ordinaires d’arrêter fréquemment le service manuellement.

panda log
panda log --lines 200
panda log --all

Nettoyer les logs :

panda log clear

Activer temporairement debug :

panda log level debug dns,tcp --ttl 10m

Restaurer la valeur par défaut :

panda log level reset

panda repair est plus complet et peut réparer :

• VPN route
• DNS snapshot
• Kill-switch guard
• l’état lié au system proxy

panda proxy repair répare principalement le system proxy drift de l’utilisateur actuel.

panda repair
panda proxy repair

Lors d’une Fresh install, la valeur par défaut est proxy system-proxy on.
Si l’utilisateur a explicitement enregistré off, cette configuration sera conservée.

Afficher ou définir :

panda proxy system-proxy on
panda proxy system-proxy off
panda proxy system-proxy lock-on

Remarque : en mode auto, pandavpn et wireguard, le VPN runtime ignore la préférence system proxy persistée ; le VPN companion proxy reste disponible et utilise scoped egress.

Le Windows system proxy est un paramètre HKCU WinINET de l’utilisateur actuel et nécessite un per-user user-agent.
Si vous êtes dans une session SSH ou non interactive, proxy repair ne peut pas toujours démarrer automatiquement le user-agent.

Recommandé :

panda proxy status
panda proxy repair
panda doctor

Si cela ne prend toujours pas effet, réessayez dans une session de connexion au bureau.

Linux Phase 1 prend principalement en charge GNOME gsettings.
Les environnements comme KDE / XFCE peuvent s’afficher comme unsupported.

Cela n’affecte pas nécessairement PandaVPN packet runtime, mais peut affecter l’expérience du system proxy mode.

Le principe de Kill-switch est d’autoriser uniquement le trafic qui passe par TUN, tandis que tout autre trafic normal est bloqué.

proxy mode est un mode proxy local standalone. Il ne dispose pas de packet VPN / TUN et n’offre pas de protection DNS ni de routage équivalente. Kill-switch ne prend donc pas en charge standalone proxy mode.

Lorsque vous avez besoin de Kill-switch, utilisez :

panda mode auto
panda kill-switch on

Ou :

panda mode pandavpn global
panda kill-switch on

Ou :

panda mode wireguard
panda kill-switch on

Non.

Auto-connect couvre principalement le best-effort connect au démarrage du daemon / service, ainsi que le pending retry lorsque le réseau est temporairement indisponible au démarrage.

Activer :

panda config auto-connect on

Désactiver :

panda config auto-connect off

Ce n’est pas un mécanisme général de reconnexion automatique en runtime.

Les Split rules servent à indiquer que certains domaines, mots-clés, regex ou IP passent par proxy, direct ou block.

Fichiers de règles :

split/rules/proxy.txt
split/rules/direct.txt
split/rules/block.txt

Commandes courantes :

panda split rules list
panda split rules add proxy suffix:github.com
panda split rules add direct ip-cidr:10.0.0.0/8
panda split rules add block keyword:adservice

Limitation actuellement connue : après le login, le pending auto-connect en attente de retry ne sera pas wake automatiquement.

Il est recommandé d’exécuter manuellement après le login :

panda connect

En général, non. Les changements de configuration Split DNS sont appliqués en hot-load.

Commandes courantes :

panda split dns status
panda split dns local set 223.5.5.5 114.114.114.114
panda split dns policy tunnel-only
panda split dns fake-ip on

Si la plateforme ne prend pas en charge certaines sources local DNS, doctor affichera un warning.