対象のプロトコルがなんなのかってのと上位層に渡したくない理由にもよると思うんだけど、
iptablesで落とすんじゃだめなのかね？
あと、ユーザープロセスでTCP/UDPパケットを直接操作するシステムってのは昔作ったことが
あるけど、そのときは結局、NICに別アドレス割り当ててLXCの仮想ネットワークにつないで
ホスト側と分離した環境で動かしたな。詳しいところはあんまり覚えてないけど。