高安全级服务器禁用usb网卡硬件，核心是“固件屏蔽+物理移除+内核拦截”三层手段：bios/uefi层关闭usb控制器与无线支持、拆机拔除m.2/mini pcie无线模块及usb排线、linux内核黑名单阻断usbnet/iwlwifi等驱动加载，并同步禁用idrac/ilo虚拟usb映射功能。
高安全级服务器禁用USB网卡硬件，核心不是“关接口”，而是从物理链路源头切断无线通信能力，防止绕过系统管控、规避审计、引入未授权网络通道。 USB网卡（含USB转以太网、USB Wi-Fi、USB蓝牙等）因即插即用、驱动易加载、隐蔽性强，已成为高安全环境中的典型风险点。它可能被用于建立隐蔽信道、绕过防火墙策略、植入恶意固件，甚至成为横向移动跳板。因此，必须采用“固件屏蔽+物理移除+内核拦截”三层手段，确保无供电、不枚举、不加载。
BIOS/UEFI 层彻底关闭 USB 控制器与无线支持
这是最根本的防线，作用于操作系统启动前，所有 USB 设备（包括 USB 网卡）均无法获得供电和 PCIe/USB 总线资源： - 重启服务器，在 POST 阶段按 F2（Dell）、F9（HPE）或 F1（Lenovo）进入 UEFI 设置 - 进入 Advanced → Onboard Devices Configuration 或 Chipset → South Bridge Configuration - 将以下选项全部设为 Disabled： - USB Controller（含 xHCI/EHCI） - USB 3.x Support（如 USB 3.2 Gen1/Gen2 Controller） - Wireless LAN / WLAN Controller（常标为 “Intel CNVi”、“Realtek RTL8822CE”、“MediaTek MT7921U”等） - Bluetooth Controller（若集成在同模块中，一并关闭） - Legacy USB Support（防旧 BIOS/UEFI 启动绕过） - 启用 Secure Boot 并设置强 BIOS 管理员密码，防止配置被重置完成此步后，USB 网卡插入即无反应，设备管理器或 lspci 均不可见，连调试 Live OS 也无法识别。
物理拆除 USB 无线模块与外接网卡
固件禁用不能替代物理干预——部分服务器存在独立 M.2 Key E/A、Mini PCIe 或 USB 扩展槽，可能绕过主板集成控制器： - 拆机检查主板背面及 I/O 区域，重点查找： - M.2 插槽（标注 Key E 或 Key A+E），常见 Intel AX200/AX210、Realtek RTL8822CE 等无线模组 - Mini PCIe 插槽（多见于老款服务器） - 前面板 USB 扩展排线（标有 “F_USB” 或 “USB_F”），其末端可能直连 USB 网卡芯片 - 若已安装，直接拔出 USB 无线网卡或 M.2 无线模组，并封存；断开对应排线 - 对部分主板（如 Supermicro X12 系列），USB 供电路径设有可熔保险丝（如 F1/F2），确认后可物理移除（需防静电操作）物理拆除后，即使固件被篡改或降级，USB 网卡也完全失去硬件基础。
Linux 内核层阻断驱动加载与设备枚举
作为冗余加固，防止未来固件更新、调试模式启用或误插 USB 网卡时触发内核自动加载： - 编辑 /etc/modprobe.d/blacklist-usbnet.conf，添加：blacklist usbnet blacklist ax88179_178a blacklink r8152 blacklist mt76x0u_usb_sta blacklist iwlwifi blacklist btusb install usbnet /bin/false install ax88179_178a /bin/false- 执行 dracut -f 重建 initramfs，确保启动早期即生效 - 验证：插入 USB 网卡后，dmesg | grep -i "usb\|net" 不应出现新网卡识别日志；ip link show 不新增 interface
该层防护不依赖运行时服务，无需管理员登录即可生效，且对 rootkit 类攻击具备一定免疫性。
带外管理通道同步清理
IDRAC（Dell）、iLO（HPE）、XClarity（Lenovo）等带外管理模块常内置虚拟 USB 功能，可远程映射本地 USB 设备（含网卡镜像），构成隐蔽通道： - 登录 IDRAC/iLO Web 界面，进入 Remote Console 或 Virtual Media 设置 - 关闭 “Virtual USB Device”、“Remote USB Mapping”、“USB Redirection” 等选项 - 禁用 “Virtual Media” 功能（除非业务强依赖） - 检查并关闭 “KVM over IP” 中的 USB HID 重定向（若非必需）未同步管控带外通道，等于留了一扇未上锁的后门——攻击者可通过管理网口远程注入 USB 网卡行为。
