systemd单元运行BindToInterface时报setsockopt Operation not permitted错误如何处理

setsockopt: Operation not permitted报错的本质是运行服务的普通用户缺少绑定指定网络接口、操作套接字所需的细粒度权限，不需要将整个服务提升为root权限运行，仅授予必要的最小权限即可解决问题。

• 第一步：给相关二进制文件授予必要的Linux能力（Capabilities）
  执行以下命令，仅给bindToInterface库和deluged程序分配必须的网络权限，不会提升其运行身份：

sudo setcap cap_net_raw,cap_net_bind_service=+ep /media/bti/bindToInterface.so
sudo setcap cap_net_raw,cap_net_bind_service=+ep /usr/bin/deluged

• 第二步：修改systemd服务单元配置，保留所需权限
  在deluged.service的[Service]段添加以下3行配置，避免systemd默认清理掉非root服务的权限，原有配置保持不变即可：

AmbientCapabilities=CAP_NET_RAW CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_RAW CAP_NET_BIND_SERVICE
NoNewPrivileges=false

以上配置仅允许服务使用指定的两个网络相关权限，不会开放其他多余权限，符合最小权限原则，你可以继续保留服务用专属普通用户运行的配置，不需要改成root。

• 第三步：重载配置并重启服务
  执行以下命令让配置生效：

sudo systemctl daemon-reload
sudo systemctl restart deluged

执行systemctl status deluged查看服务状态，确认不再抛出setsockopt相关报错即可。如果需要确认绑定效果，可以在deluge运行时查看其连接的出站接口是否为指定的eno2。

内容的提问来源于stack exchange，提问作者Vasile Tugurlan