Linux下Berkeley原始套接字独占访问：如何禁用以太网以上内核处理？

一、代码层面操作 #

1. 禁用接口ARP功能（阻止内核发送ARP包） #

在绑定网卡后，通过ioctl设置网卡的IFF_NOARP标志，从代码层面禁止内核自动生成ARP流量：

#include <sys/ioctl.h>
#include <net/if.h>

// 假设sockfd是已创建的原始套接字，ifname是目标网卡名（如"eth0"）
struct ifreq ifr;
memset(&ifr, 0, sizeof(ifr));
strncpy(ifr.ifr_name, ifname, IFNAMSIZ);

// 获取当前网卡标志
if (ioctl(sockfd, SIOCGIFFLAGS, &ifr) == -1) {
    perror("ioctl get flags");
    return -1;
}
// 开启IFF_NOARP标志
ifr.ifr_flags |= IFF_NOARP;
if (ioctl(sockfd, SIOCSIFFLAGS, &ifr) == -1) {
    perror("ioctl set noarp");
    return -1;
}

2. 使用BPF过滤仅接收目标数据包 #

避免内核和套接字处理无关流量，通过SO_ATTACH_FILTER设置BPF规则，只保留你自定义的以太网类型包（示例中用0x88B5作为自定义协议类型，可替换为实际值）：

#include <linux/filter.h>
#include <linux/if_ether.h>

struct sock_filter filter[] = {
    // 读取以太网帧的协议类型字段（偏移12字节，占2字节）
    BPF_STMT(BPF_LD + BPF_H + BPF_ABS, offsetof(struct ethhdr, h_proto)),
    // 匹配自定义协议类型，不匹配则跳转至丢弃逻辑
    BPF_JUMP(BPF_JMP + BPF_JEQ + BPF_K, htons(0x88B5), 0, 1),
    // 匹配则保留完整数据包
    BPF_STMT(BPF_RET + BPF_K, 0xFFFF),
    // 不匹配则丢弃数据包
    BPF_STMT(BPF_RET + BPF_K, 0),
};

struct sock_fprog fprog = {
    .len = sizeof(filter) / sizeof(struct sock_filter),
    .filter = filter,
};

if (setsockopt(sockfd, SOL_SOCKET, SO_ATTACH_FILTER, &fprog, sizeof(fprog)) == -1) {
    perror("setsockopt attach filter");
    return -1;
}

二、系统网卡设置操作 #

1. 清空接口IP地址（阻止内核处理IP层流量） #

如果不需要内核处理该接口的IP协议，直接清空其IP地址，让内核停止维护IP相关的流量逻辑：

ip addr flush dev <你的网卡名>

2. 禁用内核自动ARP响应 #

除代码方式外，也可通过命令行直接设置网卡的noarp属性：

ip link set dev <你的网卡名> noarp on

3. 拦截内核发出的无关流量 #

用iptables彻底阻断内核从该接口发出的ARP/IP等非自定义流量：

# 拦截ARP输出流量
iptables -A OUTPUT -o <你的网卡名> -p arp -j DROP
# 拦截IP输出流量
iptables -A OUTPUT -o <你的网卡名> -p ip -j DROP

关键说明 #

• 使用ETH_P_ALL时，内核会将一份数据包副本传给套接字，同时自身处理一份，因此必须通过BPF过滤+网卡设置，让内核不再处理无关协议。
• 所有操作均需要root权限，原始套接字本身也需要root权限才能创建。

内容的提问来源于stack exchange，提问作者Ohjurot