Linux AF_PACKET套接字：特定EtherType过滤仅回环接口生效问题

问题1：创建套接字时传入EtherType与通过sll_protocol设置EtherType的区别 #

• socket()参数中的protocol：这是内核层面的接收过滤规则，用来告诉内核该套接字只接收EtherType匹配的帧。比如传入htons(ETH_P_802_EX1)，内核会只把EtherType为0x88B5的帧递送到这个套接字；如果传ETH_P_ALL，则接收所有未被其他内核模块处理的帧。对于SOCK_RAW类型的套接字，收到的帧包含完整以太网帧头；SOCK_DGRAM则会自动剥离帧头，只返回上层数据。
• struct sockaddr_ll的sll_protocol：主要用于发送帧时指定以太网帧的EtherType字段，当调用sendto()向该地址结构发送数据时，内核会将sll_protocol的值填入以太网帧的EtherType字段。如果在bind()时设置该字段，它会作为额外的接收过滤条件——只有同时匹配socket()的protocol和sll_protocol的帧，才会被递送到套接字。

问题2：回环接口正常、物理接口失效的原因及函数使用检查 #

核心原因 #

1. 网卡硬件过滤：大部分物理网卡会对EtherType进行硬件级过滤，对于不识别的自定义类型（如0x88B5），会直接在硬件层面丢弃，不会将帧上传到内核。而回环接口是纯软件实现，没有硬件过滤逻辑，所有帧都会进入内核处理。
2. 混杂模式未开启：如果服务端发送的帧的目标MAC不是客户端网卡的MAC，客户端网卡默认会丢弃非自身MAC的帧，必须开启混杂模式才能接收。回环接口不受此限制，因为所有帧都在本地循环。
3. 内核模块拦截：如果物理接口加入了网桥、或者有iptables/ebtables规则，可能会拦截自定义EtherType的帧。

函数使用检查点 #

• 确认客户端创建套接字时，protocol参数是否正确设置为htons(ETH_P_802_EX1)，而非其他值。
• 检查bind()时的struct sockaddr_ll配置：sll_ifindex是否正确指向eno1的接口索引，sll_protocol是否设置为htons(ETH_P_802_EX1)，sll_family是否为AF_PACKET。
• 确认已开启混杂模式：通过setsockopt()调用PACKET_ADD_MEMBERSHIP，传入struct packet_mreq并设置mr_type = PACKET_MR_PROMISC、mr_ifindex为eno1的索引。
• 检查物理接口是否处于UP状态：用ip link show eno1确认接口已启用。

问题3：方案可行性及更优选择 #

方案可行性 #

该方案完全可以实现预期需求——AF_PACKET套接字支持直接操作二层帧，允许任意修改源MAC（通过struct sockaddr_ll的sll_addr字段设置）和EtherType（发送时通过sll_protocol或socket()参数指定）。只要解决物理接口的硬件过滤、混杂模式等问题，就能正常收发。

更优方案 #

• 普通场景：如果不需要超高性能，直接优化现有AF_PACKET代码即可，无需更换方案。可以配合PACKET_FANOUT选项实现负载均衡，或者用PACKET_RX_RING提升接收性能。
• 高性能场景：如果需要处理高吞吐量的帧，可以使用DPDK。DPDK绕过内核协议栈，直接在用户态操作网卡，性能大幅提升，但需要适配特定网卡驱动，开发复杂度更高。
• 易用性优先：可以使用libpcap库，它封装了AF_PACKET等底层接口，提供更简洁的API，无需手动处理套接字配置，适合快速开发。

内容的提问来源于stack exchange，提问作者Teppichboden2