Linux下使用AF_INET套接字调用sendto()发IP包时EPERM错误的修复方法

以下代码基于UDP客户端示例简化而来：

#define SOCKET_TYPE_UDP_IPV4              AF_INET, SOCK_DGRAM, 0

// 创建IPv4 UDP套接字，用于向目标设备发送数据包
int socket_fd = socket(SOCKET_TYPE_UDP_IPV4);

// 通过`sendto()`发送UDP数据包
const char msg_to_send[] = "Hello from client.";
ssize_t num_bytes_sent = sendto(socket_fd, msg_to_send, sizeof(msg_to_send), 0,
    (const struct sockaddr *)&addr_server, sizeof(addr_server));
if (num_bytes_sent == -1)
{
    printf("Failed to send to server. errno = %i: %s\n", errno, strerror(errno));
    goto cleanup;
}

该代码在常规Linux机器上运行正常，但在某嵌入式Linux板上执行时，sendto()调用失败，返回值为-1，errno被设置为EPERM（权限错误）。POSIX标准及常见Linux手册页中，sendto()的错误列表均未包含EPERM，但errno定义明确EPERM代表“操作不被允许”。

请问嵌入式Linux环境下sendto()返回EPERM的原因是什么？该如何修复以正常发送UDP数据包？

可能原因 #

• 安全增强模块拦截：嵌入式Linux常启用SELinux、AppArmor等安全模块，这类模块可能会在进程未获授权时拦截网络发送操作，触发EPERM错误，即使进程拥有基础文件权限也会出现此问题。
• 特权端口限制：若目标端口为低于1024的特权端口，普通用户进程无法向这类端口发送数据包，会触发权限错误。
• 防火墙/网络策略阻断：嵌入式设备上的iptables、nftables等防火墙可能配置了禁止UDP发送的规则，或限制了特定IP/端口的通信，导致操作被阻断并返回EPERM。
• 系统配置限制：部分嵌入式系统通过sysctl参数限制套接字发送权限，比如禁止非特权进程使用某些网络特性，或限制数据包的源/目标地址范围。

修复步骤 #

1. 排查安全模块影响
   临时关闭SELinux（执行setenforce 0）或AppArmor，测试是否能正常发送。若问题解决，需修改安全模块规则，为该进程添加网络发送权限。

2. 处理特权端口问题
   如果目标端口是特权端口（<1024），可选择：

• 改用1024及以上的非特权端口；
• 以root用户运行程序；
• 通过setcap cap_net_bind_service=+ep ./your_program命令，为进程赋予访问特权端口的能力。

3. 调整防火墙规则
   查看当前防火墙规则，添加允许UDP发送的规则，例如：

iptables -A OUTPUT -p udp --dport <目标端口> -d <目标IP> -j ACCEPT

4. 检查sysctl配置
   查看并调整相关sysctl参数，比如net.ipv4.ip_unprivileged_port_start（设置非特权进程可使用的起始端口），确保没有限制当前发送操作的配置。

5. 验证套接字与地址配置
   确认套接字创建无错误，且addr_server的IP地址、端口号格式合法，错误的地址配置在部分嵌入式系统中也可能触发类似权限错误的提示。

内容的提问来源于stack exchange，提问作者Gabriel Staples