Go标准库net包不支持原始套接字，因其仅提供TCP/UDP/ICMP等传输层以上抽象，无法构造自定义IP头；真正需原始套接字时应优先使用golang.org/x/net/ipv4包，它封装平台差异、自动处理IP_HDRINCL与校验和，并允许传入完整IP数据报（含头+payload）。
go 标准库的 net 包**不支持原始套接字（raw socket）**——它只暴露传输层及以上（tcp/udp/icmp）的抽象，无法构造或发送自定义 ip 头。真要发带自定义 ip 头的包，必须绕过 net，用底层机制。
为什么 net.ListenIP("ip4:icmp", ...) 不是原始套接字？
这个调用看似“底层”，实则仍是内核代填 IP 头的半托管模式：net.ListenIP 创建的是一个能接收 ICMP 报文的 PacketConn，但发送时仍由内核生成完整 IP 头（含校验和、ID、TTL 等），你只能控制 ICMP payload 和部分字段（如 Type/Code）。它不等价于 socket(AF_INET, SOCK_RAW, IPPROTO_RAW)。
- 你能用
conn.WriteTo(payload, addr)发 ICMP 包，但源 IP 固定为本机路由决定的出口地址，无法伪造 -
IP_HDRINCL选项根本没生效；内核会静默覆盖你试图写入的 IP 头字段 - 想改 TTL、设置 DF 位、用非标准协议号（比如 0xFE）、填充自定义 options —— 全都不行
真正需要原始套接字时，该用哪个包？
优先用 golang.org/x/net/ipv4（或 ipv6），而不是手撸 syscall。它封装了平台差异，自动处理 IP_HDRINCL 设置、校验和补零逻辑，并提供 WriteTo() 接口让你传入完整 IP 数据报（含头 + payload）。
- 创建方式：先
net.ListenIP("ip4:0", &net.IPAddr{IP: net.IPv4zero})，再ipv4.NewRawConn(conn) - 协议号填
0（即IPPROTO_RAW），不是IPPROTO_ICMP或IPPROTO_UDP - 发送前必须手动填充整个 IP 头，且
TotalLength字段要含头长（通常 20）+ payload 长度，用大端序 -
Checksum字段不能为 0；可用ipv4.Checksum()计算，或自己实现 RFC 1071 校验和
Linux 下权限与容器环境的坑
即使代码逻辑正确，write: permission denied 或发包后无声无息，大概率是权限或运行环境问题：
- 普通用户直接运行会失败；需
sudo，或更安全地：用sudo setcap cap_net_raw+ep ./your-binary - Docker 默认禁用
CAP_NET_RAW；启动容器时加--cap-add=NET_RAW，否则setcap无效 - 在 Kubernetes 中，Pod 的
securityContext.capabilities.add必须显式包含NET_RAW，且容器 runtime（如 containerd）需允许该 capability - 某些云厂商（如 AWS EC2 的 Nitro 实例）或安全加固系统（SELinux/enforcing mode）可能额外拦截 raw socket 调用，需查 audit log
最易被忽略的一点：IPv4 原始套接字在 Linux 上默认只允许发往本机或直连网段（取决于 net.ipv4.conf.all.send_redirects 和反向路径过滤），跨子网发包常被静默丢弃——别只盯着代码，先 tcpdump -i any icmp 看包是否真发出去了。
