Linux Raw Socket 二层包收发实战：从原理到工业网关应用

1. 二层包收发的核心价值与适用场景

第一次接触 Raw Socket 收发二层包，是在做一个工业现场的数据采集网关。当时的需求很明确：设备之间跑的是私有二层协议，上层没有 IP、没有 TCP/UDP，就是最原始的以太网帧。用常规的 socket 编程根本够不着这一层，最后只能走 Raw Socket 这条路。折腾了大概两周，踩了不少坑，也积累了一些经验，这里系统整理一下。

Raw Socket，直译过来就是"原始套接字"，它允许程序绕过内核协议栈的部分处理，直接读写网络层甚至链路层的数据。我们平时用的 socket 是面向 TCP/UDP 的，内核帮你把三次握手、重传、分片这些事全干了。但当你需要收发二层包——也就是完整的以太网帧，包含目的 MAC、源 MAC、类型字段和载荷——就必须用 Raw Socket，并且要指定ETH_P_ALL或具体的以太网类型。

这个能力能解决什么问题？举几个典型场景。第一是私有协议通信，很多工业设备、电力终端、车载网络用的都是自定义的二层帧格式，不遵循标准 IP 协议。第二是网络诊断与抓包，像 tcpdump 这类工具底层就是靠 Raw Socket 拿到原始帧的。第三是协议栈开发与教学，你要自己实现一个 ARP、或者做一个简易的协议解析器，绕不开二层收发。第四是安全测试与流量分析，需要构造特定帧来验证设备行为。

适合谁来参考？有一定 C 语言基础、了解 socket 编程、对网络分层有基本概念的同学。如果你连 socket 的bind、recv都没用过，建议先补一下基础。但如果你已经写过 TCP 客户端服务端，想往下探一层，那这篇内容正好对路。下面我会从设计思路、核心细节、完整实操到问题排查，一步步拆开讲，代码以 Linux 平台为主，因为 Raw Socket 在 Linux 上支持最完整，Windows 上限制较多，后面也会提。

2. 整体设计思路与方案选型拆解

2.1 为什么选 Raw Socket 而不是其他方案

要收发二层包，摆在面前的路其实有几条。第一条是用现成的库，比如 libpcap，它封装得很好，跨平台，抓包方便。第二条是用 Raw Socket 自己撸。第三条是在内核里写模块，或者用 DPDK 这类用户态驱动。

libpcap 的优点是上手快，pcap_open_live一调就能抓包，pcap_sendpacket就能发包。但它有个致命问题：发包能力弱，且对发送时序控制不精细。libpcap 的发送本质也是调 Raw Socket，但中间隔了一层，你没法精细控制发送缓冲区、没法做零拷贝、没法针对特定网卡做绑定优化。而且 libpcap 抓包时默认会加一层 BPF 过滤，虽然能提效，但调试阶段反而碍事。

DPDK 性能最强，零拷贝、轮询收包，能跑到线速。但它要求独占网卡，得用vfio-pci把网卡从内核手里抢过来，配置复杂，而且一旦用了 DPDK，这台机器上正常的网络通信就废了。对于大多数中小规模场景，杀鸡用牛刀。

Raw Socket 处在中间：比 libpcap 控制力强，比 DPDK 轻量。它能直接拿到完整的以太网帧，发送时也能自己拼帧，还能通过setsockopt调整收发缓冲区、绑定网卡、设置混杂模式。对于工业网关、协议测试这类场景，够用且可控。所以我最终选了 Raw Socket。

2.2 收与发要分开设计

很多人一开始会想用一个 socket 同时收发，理论上可以，但实践中我建议收发分离。原因有三。第一，收包通常要设混杂模式，发包不需要，混在一起容易乱。第二，收包是阻塞等待，发包是主动触发，两者的节奏不一样，放一个线程里会互相拖累。第三，调试时分开更容易定位问题——到底是没收上来，还是没发出去，一目了然。

具体做法是创建两个 Raw Socket，一个专门收，一个专门发。收的 socket 绑定到指定网卡，设ETH_P_ALL或具体协议类型，开混杂模式。发的 socket 绑定到同一网卡，发送时用sendto指定目标 MAC 和接口。这样职责清晰，代码也好维护。

2.3 字节序与帧结构的前置约定

二层帧的字段涉及字节序问题，这是新手最容易翻车的地方。以太网帧头里，目的 MAC 和源 MAC 是 6 字节数组，没有字节序问题，直接按顺序填。但类型字段（EtherType）是 2 字节，网络字节序（大端）。比如0x0800表示 IPv4，0x0806表示 ARP，你写代码时要用htons(0x0806)转换。载荷部分如果是自定义协议，字节序由你自己的协议规定，但建议统一用网络字节序，省得跨平台出问题。

帧的最小长度是 64 字节（不含前导码和 FCS），最大 1518 字节（标准 MTU 1500 加 14 字节帧头加 4 字节 FCS）。如果你发的帧小于 64 字节，网卡会自动填充到 64，但有些驱动不会，导致对端收不到。所以自己拼帧时，载荷不足要手动补零到 46 字节（60 字节帧减去 14 字节帧头）。这个细节后面实操部分会再强调。

3. 核心细节解析与实操要点

3.1 创建 Raw Socket 的关键参数

创建 Raw Socket 用socket()函数，三个参数分别是域、类型、协议。域用AF_PACKET，这是 Linux 特有的，专门用于链路层。类型用SOCK_RAW。协议用htons(ETH_P_ALL)表示收所有类型，或者用htons(ETH_P_ARP)只收 ARP。

int sock = socket(AF_PACKET, SOCK_RAW, htons(ETH_P_ALL)); if (sock < 0) { perror("socket"); return -1; }

这里有个坑：ETH_P_ALL必须用htons转换。因为协议参数在网络栈里是按网络字节序比较的，你不转，内核就认不出来，结果就是收不到任何包，但也不报错，非常隐蔽。我第一次就栽在这，查了半天以为是权限问题。

权限方面，Raw Socket 需要 root 权限，或者给程序加CAP_NET_RAW能力。开发阶段直接sudo跑，生产环境建议用setcap精细化授权，别一直用 root。

sudo setcap cap_net_raw+ep ./your_program

3.2 绑定网卡与获取接口索引

创建完 socket 后，要把它绑定到具体网卡。不绑定的话，内核会从所有网卡收包，你分不清来源。绑定用bind，地址结构是sockaddr_ll。

struct sockaddr_ll sll; memset(&sll, 0, sizeof(sll)); sll.sll_family = AF_PACKET; sll.sll_protocol = htons(ETH_P_ALL); sll.sll_ifindex = if_nametoindex("eth0"); if (bind(sock, (struct sockaddr*)&sll, sizeof(sll)) < 0) { perror("bind"); return -1; }

sll_ifindex是网卡索引，用if_nametoindex把网卡名转成索引。这里注意，网卡名要填对，eth0、enp3s0、wlan0因系统而异，用ip link命令先确认。绑错了网卡，包就收不到，而且不报错。

3.3 开启混杂模式

默认情况下，网卡只收目的 MAC 是自己或者广播/组播的帧。如果你要抓取流经网卡的所有帧，必须开混杂模式。用setsockopt设置PACKET_ADD_MEMBERSHIP，加入PACKET_MR_PROMISC。

struct packet_mreq mr; memset(&mr, 0, sizeof(mr)); mr.mr_ifindex = if_nametoindex("eth0"); mr.mr_type = PACKET_MR_PROMISC; if (setsockopt(sock, SOL_PACKET, PACKET_ADD_MEMBERSHIP, &mr, sizeof(mr)) < 0) { perror("setsockopt promisc"); return -1; }

注意：混杂模式会让网卡接收所有帧，包括不是发给你的。在交换机组网的环境里，这只能收到本端口能看到的流量，不是整个网络的流量。想收全网的，得在交换机上做端口镜像，这是网络配置的事，不是代码能解决的。

3.4 接收缓冲区与超时设置

收包时如果缓冲区太小，高流量下会丢包。用setsockopt调大SO_RCVBUF。另外，recvfrom默认阻塞，如果你想定时退出，设SO_RCVTIMEO。

int rcvbuf = 4 * 1024 * 1024; setsockopt(sock, SOL_SOCKET, SO_RCVBUF, &rcvbuf, sizeof(rcvbuf)); struct timeval tv; tv.tv_sec = 1; tv.tv_usec = 0; setsockopt(sock, SOL_SOCKET, SO_RCVTIMEO, &tv, sizeof(tv));

SO_RCVBUF设多大合适？一般 2 到 8 MB 够用。设太大浪费内存，设太小丢包。实测下来，千兆流量下 4 MB 比较稳。超时设 1 秒，方便主循环里做其他事，比如检查退出标志。

3.5 发送时的帧拼装要点

发送二层帧，核心是拼一个完整的以太网帧。结构如下：

拼帧时，载荷不足 46 字节要手动补零。我试过发一个 20 字节载荷的帧，对端死活收不到，抓包发现网卡没自动填充，帧长不够 64，被交换机丢了。后来手动memset补到 46 字节，问题解决。

发送用sendto，地址结构还是sockaddr_ll，其中sll_ifindex指定发送网卡，sll_halen和sll_addr填目的 MAC。

struct sockaddr_ll sll; memset(&sll, 0, sizeof(sll)); sll.sll_family = AF_PACKET; sll.sll_ifindex = if_nametoindex("eth0"); sll.sll_halen = 6; memcpy(sll.sll_addr, dst_mac, 6); sendto(sock, frame, frame_len, 0, (struct sockaddr*)&sll, sizeof(sll));

提示：sll_addr填的是目的 MAC，不是源 MAC。源 MAC 在帧头里已经填了，这里再填一遍是给内核路由用的。填错了包发不出去，或者发到错误的地方。

4. 完整实操流程与核心环节实现

4.1 环境准备与依赖确认

先确认系统环境。Linux 内核 2.6 以上都支持AF_PACKET，现代发行版没问题。用uname -r看内核版本。编译器用 gcc，装好build-essential。网卡确认用ip link，找到你要操作的网卡名。

uname -r ip link show

假设网卡是eth0，MAC 是00:11:22:33:44:55。记下来，后面拼帧要用。如果是在虚拟机里测试，网卡可能是ens33之类，按实际填。

4.2 接收端完整代码实现

接收端的逻辑是：创建 socket、绑定网卡、开混杂、设缓冲区、循环recvfrom、解析帧头、打印信息。

#include <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> #include <net/if.h> #include <netinet/if_ether.h> #include <sys/socket.h> #include <linux/if_packet.h> #include <arpa/inet.h> #define IFNAME "eth0" #define BUF_SIZE 65536 int main() { int sock = socket(AF_PACKET, SOCK_RAW, htons(ETH_P_ALL)); if (sock < 0) { perror("socket"); return 1; } struct sockaddr_ll sll; memset(&sll, 0, sizeof(sll)); sll.sll_family = AF_PACKET; sll.sll_protocol = htons(ETH_P_ALL); sll.sll_ifindex = if_nametoindex(IFNAME); if (bind(sock, (struct sockaddr*)&sll, sizeof(sll)) < 0) { perror("bind"); return 1; } struct packet_mreq mr; memset(&mr, 0, sizeof(mr)); mr.mr_ifindex = if_nametoindex(IFNAME); mr.mr_type = PACKET_MR_PROMISC; setsockopt(sock, SOL_PACKET, PACKET_ADD_MEMBERSHIP, &mr, sizeof(mr)); int rcvbuf = 4 * 1024 * 1024; setsockopt(sock, SOL_SOCKET, SO_RCVBUF, &rcvbuf, sizeof(rcvbuf)); unsigned char buf[BUF_SIZE]; while (1) { int len = recvfrom(sock, buf, BUF_SIZE, 0, NULL, NULL); if (len < 14) continue; unsigned char *dst = buf; unsigned char *src = buf + 6; unsigned short eth_type = (buf[12] << 8) | buf[13]; printf("dst=%02x:%02x:%02x:%02x:%02x:%02x ", dst[0], dst[1], dst[2], dst[3], dst[4], dst[5]); printf("src=%02x:%02x:%02x:%02x:%02x:%02x ", src[0], src[1], src[2], src[3], src[4], src[5]); printf("type=0x%04x len=%d\n", eth_type, len); } close(sock); return 0; }

编译运行：

gcc -o recv_raw recv_raw.c sudo ./recv_raw

跑起来后，你应该能看到网卡上流过的帧，包括 ARP、IPv4、IPv6 等。如果什么都看不到，先检查网卡名对不对，再检查是不是在虚拟环境里网卡没流量。

4.3 发送端完整代码实现

发送端逻辑是：创建 socket、绑定网卡、拼帧、sendto。这里构造一个自定义类型的帧，类型用0x88B5（实验用类型，避免和标准协议冲突）。

#include <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> #include <net/if.h> #include <sys/socket.h> #include <linux/if_packet.h> #include <arpa/inet.h> #define IFNAME "eth0" #define ETH_TYPE 0x88B5 int main() { int sock = socket(AF_PACKET, SOCK_RAW, htons(ETH_TYPE)); if (sock < 0) { perror("socket"); return 1; } unsigned char dst_mac[6] = {0xff, 0xff, 0xff, 0xff, 0xff, 0xff}; unsigned char src_mac[6] = {0x00, 0x11, 0x22, 0x33, 0x44, 0x55}; unsigned char frame[60]; memset(frame, 0, sizeof(frame)); memcpy(frame, dst_mac, 6); memcpy(frame + 6, src_mac, 6); frame[12] = (ETH_TYPE >> 8) & 0xff; frame[13] = ETH_TYPE & 0xff; const char *payload = "hello raw socket"; memcpy(frame + 14, payload, strlen(payload)); struct sockaddr_ll sll; memset(&sll, 0, sizeof(sll)); sll.sll_family = AF_PACKET; sll.sll_ifindex = if_nametoindex(IFNAME); sll.sll_halen = 6; memcpy(sll.sll_addr, dst_mac, 6); int sent = sendto(sock, frame, sizeof(frame), 0, (struct sockaddr*)&sll, sizeof(sll)); if (sent < 0) { perror("sendto"); return 1; } printf("sent %d bytes\n", sent); close(sock); return 0; }

编译运行：

gcc -o send_raw send_raw.c sudo ./send_raw

发送端跑完后，接收端应该能看到type=0x88b5的帧。如果接收端没反应，检查两边网卡是不是在同一个二层网络里，或者是不是被交换机隔离了。

4.4 收发联调与验证方法

联调时，我建议在同一台机器上用两个网卡，或者用两台机器直连。同一台机器上，你可以发到lo回环口，但回环口的行为和物理网卡不一样，有些驱动不支持 Raw Socket 回环，所以最好用物理网卡。

验证步骤：先跑接收端，再跑发送端。接收端看到帧，说明链路通了。如果看不到，用tcpdump -i eth0 -e抓包对比。tcpdump能看到而你的程序看不到，说明你的 socket 配置有问题，重点查bind和ETH_P_ALL的字节序。tcpdump也看不到，说明帧根本没发出去，查sendto的返回值和sll_ifindex。

提示：tcpdump抓包时也会开混杂模式，它和你的程序可以同时抓，不冲突。用tcpdump做对照，是排查二层问题最快的手段。

5. 常见问题与排查技巧实录

5.1 收不到包的五种典型原因

收不到包是最常见的问题，我整理了一个速查表，按概率从高到低排。

我遇到最多的是第一个和第二个。网卡名填错不报错，bind返回成功，但就是收不到，非常迷惑。ETH_P_ALL不转字节序也是，代码看着没问题，跑起来就是没反应。这两个坑各踩过一次，后来养成习惯，创建 socket 后先打印一下if_nametoindex的返回值，确认网卡索引不是 0。

5.2 发送失败的排查思路

发送失败通常有几种表现：sendto返回 -1，或者返回成功但对端收不到。

sendto返回 -1，看errno。ENETDOWN说明网卡没起来，EINVAL说明地址结构有问题，EMSGSIZE说明帧太长。帧太长一般是载荷超过 1500，需要分片，但二层没有分片机制，得你自己在协议层做。

sendto返回成功但对端收不到，重点查三个地方。第一，目的 MAC 对不对，填错了帧会被交换机丢弃。第二，帧长够不够 64，不够的话有些交换机会丢。第三，类型字段对不对，对端如果按类型过滤，类型不匹配就收不到。

我踩过一个坑：目的 MAC 填成了源 MAC，结果帧发出去在本地回环了一圈，对端根本没收到。后来用tcpdump抓包才发现目的 MAC 不对。所以发送前打印一下帧头的前 14 字节，肉眼核对一遍，能省很多时间。

5.3 权限与安全相关的注意事项

Raw Socket 需要 root 或CAP_NET_RAW。开发时用sudo没问题，但生产环境一直用 root 风险大。建议用setcap给程序单独授权。

sudo setcap cap_net_raw+ep ./your_program

授权后，普通用户也能跑。但注意，setcap对脚本无效，只能对二进制文件用。另外，程序更新后setcap会失效，需要重新设置。这个细节在部署时容易忘，导致程序突然跑不起来。

还有一个安全考虑：混杂模式会收到大量无关流量，如果程序处理不当，可能成为信息泄露的渠道。生产环境建议只在必要时开混杂，或者用 BPF 过滤只收特定类型。BPF 过滤用setsockopt的SO_ATTACH_FILTER，可以显著降低 CPU 占用。

5.4 性能优化的几个实操技巧

如果流量大，性能优化就必要了。第一，用recvfrom的批量接收，Linux 支持PACKET_RX_RING，用内存映射环形缓冲区，零拷贝收包，性能提升明显。但配置复杂，一般场景用不上。第二，减少printf，打印很耗性能，高流量下会拖垮程序，建议用计数器统计，定期输出。第三，绑定 CPU 核心，用sched_setaffinity把收包线程绑到固定核心，减少上下文切换。

我实测过，千兆流量下，不加优化，单线程收包 CPU 占用能到 80%。加了缓冲区调优和减少打印后，降到 30% 左右。如果上万兆，就得上PACKET_RX_RING或者 DPDK 了。

5.5 跨平台差异的提醒

Windows 上也有 Raw Socket，但限制多。SOCK_RAW只能收 IP 层以上的包，收不到完整的以太网帧。要收二层，得用WinPcap或Npcap，本质还是 libpcap 那套。所以如果你要跨平台，建议直接用 libpcap，别自己撸 Raw Socket。Linux 上 Raw Socket 最灵活，BSD 系也支持AF_PACKET类似的功能，但细节有差异。macOS 上要用BPF设备，和 Linux 完全不同。

我个人的建议是：如果只在 Linux 上跑，Raw Socket 是最优解；如果要跨平台，libpcap 更省心。别为了追求"底层"而硬撸，工具选型要看场景。

6. 从二层收发延伸出的实用经验

6.1 自定义协议的帧格式设计建议

如果你用 Raw Socket 跑自定义协议，帧格式设计有几个建议。第一，类型字段用一个实验值，比如0x88B5到0x88B7这段是 IEEE 保留给实验用的，不会和标准协议冲突。第二，载荷里加长度字段和校验字段，二层帧本身没有长度信息（长度靠帧长推断），也没有校验（FCS 由硬件处理，软件拿不到），所以协议层要自己加。第三，加序列号，方便排查丢包和乱序。

一个简单的自定义帧格式可以这样设计：帧头 14 字节，载荷前 4 字节是长度，接着 2 字节是序列号，再 2 字节是命令字，后面是数据，最后 2 字节是 CRC16 校验。这样对端收到后能校验完整性，也能判断是否丢包。

6.2 用 Wireshark 辅助调试

Wireshark 能解析标准协议，但你的自定义协议它不认识。不过你可以用 Wireshark 的"用户自定义协议"功能，或者直接看十六进制。调试时，我习惯用 Wireshark 抓包，然后对照我的程序输出，看帧头对不对、载荷对不对。Wireshark 的过滤器很好用，比如ether proto 0x88b5只看你的自定义帧，排除干扰。

如果 Wireshark 里能看到帧但你的程序收不到，问题一定在程序里。如果 Wireshark 里也看不到，问题在发送端或网络链路。这个二分法能快速定位问题在哪一侧。

6.3 实际项目中的部署心得

我在工业网关项目里部署时，遇到过一个典型问题：设备重启后，网卡索引变了。因为if_nametoindex是按名字查的，名字没变索引一般不变，但如果网卡热插拔或者系统重新枚举，索引可能变。解决办法是每次启动时重新查索引，别把索引写死在配置里。另外，网卡名也可能变，比如从eth0变成eth1，所以配置里最好用 MAC 地址匹配，而不是网卡名。

还有一个心得：加日志要分级。调试时开详细日志，生产时只记错误。我一开始没分级，生产环境日志刷得飞快，磁盘几天就满了。后来加了日志级别，问题少了很多。

6.4 后续可以扩展的方向

Raw Socket 收发二层包只是起点。往上走，你可以实现一个完整的二层协议栈，比如自己写 ARP 请求响应、写一个简易的网桥。往下走，可以结合PACKET_TX_RING做零拷贝发送，提升性能。横向扩展，可以结合epoll做多网卡并发收包，或者结合AF_XDP做更高效的包处理。

如果要做协议分析工具，可以在收包基础上加解析模块，按类型分发到不同的解析器。如果要做流量回放，可以把收上来的帧存下来，再原样发出去。这些扩展都建立在二层收发的基础上，把基础打牢，后面的事就顺了。

我个人在实际操作中的体会是，Raw Socket 这东西，入门不难，难在细节。字节序、帧长、权限、网卡绑定，每一个小点都可能让你卡半天。但只要把第一个能收能发的 demo 跑通，后面就是查漏补缺的事。建议你从最简单的ETH_P_ALL收包开始，看到帧了再加发送，发送通了再加自定义协议，一步步来，别一上来就搞复杂协议，容易懵。