非 root 用户在 Linux/macOS 下调用 syscall.Socket 返回 permission denied，是因内核禁止普通用户创建原始套接字；应使用 sudo、setcap cap_net_raw+ep 或容器中添加 NET_RAW 权限解决。
Go 里 syscall.Socket 返回 permission denied 怎么办
Linux/macOS 下非 root 用户默认无法创建原始套接字，syscall.Socket 直接返回 operation not permitted。这不是 Go 的 bug，而是内核强制的安全策略。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 开发调试时用
sudo go run main.go（最直接，但别在生产环境照搬） - 给二进制加
cap_net_raw能力：运行sudo setcap cap_net_raw+ep ./your-binary，之后普通用户可执行 - 容器场景下，在
docker run加--cap-add=NET_RAW；K8s 则需 PodSecurityContext 中设capabilities.add: ["NET_RAW"] - Windows 不走这套权限模型，但需要管理员提权（UAC 弹窗），且部分网卡驱动会拦截原始包
syscall.Bind 绑定到 INADDR_ANY 却收不到包？
原始套接字绑定地址不像 TCP/UDP 那样“监听端口”，它只是指定接收范围。若绑定到 0.0.0.0（即 INADDR_ANY），理论上应收到本机所有接口的匹配协议包——但实际常收不到，原因多是路由层提前截获或过滤了。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 确认协议号是否正确：IPv4 ICMP 是
1，TCP 是6，UDP 是17；用错会导致内核根本不递交给你的 socket - 禁用反向路径过滤：
sysctl -w net.ipv4.conf.all.rp_filter=0（尤其多网卡环境，否则响应包可能被丢弃） - 检查 iptables/nftables 是否 DROP 了对应协议：比如
iptables -t raw -L查看 raw 表规则 - 用
tcpdump -i any 'icmp'先验证底层是否有包到达，排除物理/驱动层问题
用 golang.org/x/net/ipv4 封装原始 socket 为什么比裸调 syscall 更稳
直接调 syscall.Socket + syscall.Bind + syscall.Sendto 容易漏掉平台差异细节：比如 Windows 的地址结构、Linux 的 IP_HDRINCL 设置时机、不同内核版本对 IP_TTL 等控制项的支持程度。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
-
ipv4.NewRawConn自动处理IP_HDRINCL和 socket 选项设置，避免手动setsockopt顺序出错 - 发送时用
WriteTo自动填充 IP 头校验和（除非你显式关掉SetChecksum(true)） - 接收时
ReadFrom返回的ipv4.Header结构体比手解析字节数组更安全，字段名明确、大小端已处理 - 注意：该包不支持 IPv6 原始 socket，IPv6 得切到
golang.org/x/net/ipv6
发 ICMP ping 包后没收到 reply，recvfrom 阻塞或超时
原始 socket 发 ICMP 并不等同于系统 ping 命令——后者用的是 SOCK_DGRAM + ICMP 协议族，而原始 socket 用 SOCK_RAW + IPPROTO_ICMP，虽然协议号一样，但内核处理路径不同，某些发行版（如较新 Ubuntu）默认禁止用户态 raw ICMP 接收。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 检查
/proc/sys/net/ipv4/icmp_echo_ignore_all是否为1（忽略所有 echo request）或/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts是否影响广播探测 - 目标主机防火墙可能放行系统 ping，但拦截 raw socket 流量（例如 Windows Defender 默认 block raw ICMP inbound）
- 不要依赖
time.Now()计算 RTT：原始包时间戳由网卡驱动或内核打点，建议用syscall.Gettimeofday或runtime.nanotime()获取更准的发送/接收时刻 - ICMP ID 字段必须和发送时一致，且通常要设为当前进程 PID（
os.Getpid()），否则内核可能不把 reply 递给你
原始套接字的坑不在 Go 语法，而在操作系统网络栈的隐式行为——参数含义、权限边界、内核过滤逻辑，这些比代码本身更难调试。动手前先跑通 tcpdump 和 strace，比反复改 Go 代码快得多。
