Go标准库net包不支持原始套接字，因其仅提供TCP/UDP/ICMP等传输层以上抽象，无法构造自定义IP头；真正需原始套接字时应优先使用golang.org/x/net/ipv4包，它封装平台差异、自动处理IP_HDRINCL与校验和，并允许传入完整IP数据报（含头+payload）。
go 标准库的
包**不支持原始套接字（raw socket）**——它只暴露传输层及以上（tcp/udp/icmp）的抽象，无法构造或发送自定义 ip 头。真要发带自定义 ip 头的包，必须绕过
，用底层机制。
为什么 net.ListenIP("ip4:icmp", ...) 不是原始套接字？
这个调用看似“底层”，实则仍是内核代填 IP 头的半托管模式：
创建的是一个能接收 ICMP 报文的
，但发送时仍由内核生成完整 IP 头（含校验和、ID、TTL 等），你只能控制 ICMP payload 和部分字段（如 Type/Code）。它不等价于
。
你能用
发 ICMP 包，但源 IP 固定为本机路由决定的出口地址，无法伪造
选项根本没生效；内核会静默覆盖你试图写入的 IP 头字段
想改 TTL、设置 DF 位、用非标准协议号（比如 0xFE）、填充自定义 options —— 全都不行
真正需要原始套接字时，该用哪个包？
优先用
（或
），而不是手撸
。它封装了平台差异，自动处理
设置、校验和补零逻辑，并提供
接口让你传入完整 IP 数据报（含头 + payload）。
创建方式：先
，再
协议号填
（即
），不是
或
发送前必须手动填充整个 IP 头，且
字段要含头长（通常 20）+ payload 长度，用大端序
字段不能为 0；可用
计算，或自己实现 RFC 1071 校验和
Linux 下权限与容器环境的坑
即使代码逻辑正确，
或发包后无声无息，大概率是权限或运行环境问题：
普通用户直接运行会失败；需
，或更安全地：用
Docker 默认禁用
；启动容器时加
，否则
无效
在 Kubernetes 中，Pod 的
必须显式包含
，且容器 runtime（如 containerd）需允许该 capability
某些云厂商（如 AWS EC2 的 Nitro 实例）或安全加固系统（SELinux/enforcing mode）可能额外拦截 raw socket 调用，需查 audit log
最易被忽略的一点：IPv4 原始套接字在 Linux 上默认只允许发往本机或直连网段（取决于
和反向路径过滤），跨子网发包常被静默丢弃——别只盯着代码，先
看包是否真发出去了。
netnetnet.ListenIPPacketConnsocket(AF_INET, SOCK_RAW, IPPROTO_RAW)conn.WriteTo(payload, addr)IP_HDRINCLgolang.org/x/net/ipv4ipv6syscallIP_HDRINCLWriteTo()net.ListenIP("ip4:0", &net.IPAddr{IP: net.IPv4zero})ipv4.NewRawConn(conn)0IPPROTO_RAWIPPROTO_ICMPIPPROTO_UDPTotalLengthChecksumipv4.Checksum()write: permission deniedsudosudo setcap cap_net_raw+ep ./your-binaryCAP_NET_RAW--cap-add=NET_RAWsetcapsecurityContext.capabilities.addNET_RAWnet.ipv4.conf.all.send_redirectstcpdump -i any icmp