Ethernet帧是数据链路层传输的最小完整单位，包含了目的MAC地址、源MAC地址、上层协议类型和帧校验等关键信息。大多数应用层开发永远不会接触到这个层面，但在网络诊断、协议分析、自定义链路层协议等场景下，直接构造和收发以太网帧是非常有用的能力。Ruby标准库中的socket库提供了完善的原始套接字支持，配合String的pack方法可以灵活地组装二进制帧结构，整个过程比想象中简单得多。
Ethernet帧结构拆解：每个字段到底是什么
标准以太网帧头（RFC 894规定的Ethernet II格式）长度固定为14字节，由三个部分组成。前6字节是目的MAC地址，接着6字节是源MAC地址，最后2字节是EtherType字段，用于标识帧携带的上层协议 payload。常见的EtherType值包括0x0800（IPv4）、0x0806（ARP）、0x86DD（IPv6）等。当EtherType的值小于等于0x05DC时，该字段会被解释为长度而非协议类型，这是早期IEEE 802.3格式的残留，实际开发中很少使用。
帧头之后是数据部分，长度在46到1500字节之间（不足46字节时需要填充）。帧末尾是4字节的FCS校验字段，但需要特别注意：FCS由网卡硬件自动计算和校验，在通过原始套接字发送时通常不需要（也无法）手动填写，接收时内核也会在递交给应用层之前剥离FCS。所以在用户态构造帧时，实际处理的只有14字节帧头加数据部分。
另外，以太网帧在链路上实际传输时还有8字节的前导码和帧起始定界符，这些同样由硬件自动处理，原始套接字编程完全不用关心。理解哪些字段需要软件负责、哪些由硬件完成，是链路层编程的第一步。
用Ruby的pack方法构造二进制帧
Ruby中构造二进制数据的核心工具是Array#pack，它按照模板字符串把数值数组转成二进制字节串。MAC地址本质上是6个字节的序列，最方便的表示方法是长度为6的字节数组，用"C6"模板打包。EtherType是一个16位的无符号短整型，由于网络字节序是大端序，需要用"n"模板而不是"S"，这是新手最容易踩的坑之一。
下面是一个完整的帧构造函数示例，把MAC地址字符串转换成字节数组再拼接帧头和载荷：
def mac_to_bytes(mac)
# 把 "aa:bb:cc:dd:ee:ff" 形式的字符串转成6字节数组
mac.split(":").map { |part| part.to_i(16) }
end
def build_ethernet_frame(dst_mac, src_mac, ethertype, payload)
frame = [
mac_to_bytes(dst_mac).pack("C6"), # 目的MAC 6字节
mac_to_bytes(src_mac).pack("C6"), # 源MAC 6字节
ethertype # 协议类型
].pack("a6a6n")
# 载荷不足46字节时补零填充
if payload.bytesize < 46
payload = payload + "\x00" * (46 - payload.bytesize)
end
frame + payload
end
# 构造一个目的为广播地址的帧
frame = build_ethernet_frame("ff:ff:ff:ff:ff:ff", "00:0c:29:1a:2b:3c", 0x0800, "hello")
puts frame.bytesize # 输出 60，即14字节帧头 + 46字节填充载荷这里"a6"表示任意二进制的6字节，与"C6"的区别在于前者直接保留字节内容不做数值转换。填充分隔符"\x00"必须用双引号，单引号字符串不会解释转义序列，会原样输出反斜杠和x00四个字符。
创建AF_PACKET原始套接字并发送帧
Linux下链路层收发依赖AF_PACKET协议族，这是Linux特有的实现（BSD系统对应的是BPF，Windows则完全不同）。Ruby的Socket类直接暴露了这个能力。创建套接字时需要指定三个关键参数：AF_PACKET域、SOCK_RAW类型（自己写帧头）或SOCK_DGRAM类型（内核代填帧头），以及HTONS(ETH_P_ALL)表示接收所有协议的帧。
发送数据前还需要通过bind把套接字绑定到具体网卡。绑定时要构造sockaddr_ll结构，这个结构用pack组装稍微复杂一些，其中sll_ifindex是网卡的数字索引，可以通过Socket.getifaddrs结合ioctl获取，也可以直接读取/sys/class/net目录。完整示例如下：
require "socket"
ETH_P_ALL = 0x0003
IFNAMSIZ = 16
def interface_index(name)
# 读取 sysfs 获取网卡索引
File.read("/sys/class/net/#{name}/ifindex").to_i
end
sock = Socket.new(Socket::AF_PACKET, Socket::SOCK_RAW, ETH_P_ALL.htons)
ifindex = interface_index("eth0")
sockaddr = [Socket::AF_PACKET, ETH_P_ALL.htons, ifindex,
0x0000, 0x0000, 0].pack("s<>s<>S<>Is<>s<>a#{IFNAMSIZ}")
sock.bind(sockaddr)
frame = build_ethernet_frame("ff:ff:ff:ff:ff:ff", "00:0c:29:1a:2b:3c",
0x0800, "link layer message")
sock.send(frame, 0)
puts "帧已发送，长度 #{frame.bytesize} 字节"发送端使用SOCK_RAW时，内核会把数据原样交给网卡，不做任何修改，帧头由你的代码全权负责。如果改用SOCK_DGRAM，则不需要填MAC帧头，只需要提供载荷和协议号，源MAC由内核根据发送网卡自动填充，适合只关心数据内容而不关心帧头的场景。
接收并解析以太网帧
接收帧用recvfrom方法，返回值是数据和地址信息两部分。地址部分解包后能得到数据包到达的网卡索引和协议类型。对收到的帧做解析，本质上就是pack的逆过程，用unpack方法按同样的字节布局还原出各字段：
loop do
data, _addr = sock.recvfrom(65535)
dst_mac, src_mac, ethertype = data[0, 14].unpack("a6a6n")
payload = data[14..]
fmt_mac = ->(b) { b.unpack("C6").map { |x| format("%02x", x) }.join(":") }
puts "目的MAC: #{fmt_mac.call(dst_mac)}"
puts "源MAC: #{fmt_mac.call(src_mac)}"
puts "类型: 0x#{ethertype.to_s(16)}"
puts "载荷长度: #{payload.bytesize}"
puts "-" * 40
end需要注意，默认情况下套接字只接收发给本机的帧（含广播和组播）。如果想像抓包工具那样看到链路上的所有流量，需要开启混杂模式。Ruby没有直接的API，可以通过再次bind时在sockaddr_ll中设置对应标志，或者用system调用ifconfig命令设置。用完记得关闭，否则网卡会持续处于混杂状态。
权限、平台与实际部署注意事项
创建SOCK_RAW类型套接字需要CAP_NET_RAW能力，普通用户直接运行会抛出Errno::EPERM错误。生产环境建议通过setcap给Ruby可执行文件授权，例如sudo setcap cap_net_raw+ep /usr/bin/ruby，这比直接用root运行整个脚本更安全。开发调试阶段用sudo运行也是常见做法，但要确保脚本本身没有注入风险。
平台兼容性方面，AF_PACKET是Linux专有接口，macOS上Ruby的socket库没有这个常量，BSD系统需要改用BPF设备文件，Windows则需要依赖WinPcap或Npcap提供的第三方绑定。如果项目需要跨平台，考虑用pcaprub这类封装了libpcap的gem，它在上层提供统一的抓包和发包接口，代价是失去一些底层控制能力。
最后还有几点实践建议：一是构造帧时务必校验载荷长度，超过1500字节会直接被网卡驱动丢弃且往往没有明确报错；二是收到不明协议帧时不要直接信任其内容，解析前做长度检查；三是多线程环境下同一个原始套接字并发调用recvfrom是安全的，但发送端建议加锁避免帧交错。掌握了这些细节，Ruby完全可以胜任协议原型验证、链路层探测工具的开发工作。