高安全级服务器物理禁用USB网卡需四步：一、确认真实形态（M.2/Mini PCIe/USB转接）；二、断电后物理拆除模块或割断供电；三、BIOS/UEFI中禁用WLAN、蓝牙、USB控制器并启用Secure Boot；四、Linux内核参数黑名单屏蔽相关驱动。
针对高安全级物理服务器，要真正“物理禁用USB网卡”并彻底关闭外部隐患，关键不是只关软件或设策略，而是从硬件通路层面切断供电、信号与枚举能力——让系统连“看见”它的机会都没有。USB网卡（尤其是M.2 Key E/A接口的无线+蓝牙二合一模块、Mini PCIe网卡、或通过USB转接芯片实现的外置USB网卡）本质是PCIe或USB协议设备，其风险不仅在于联网能力，更在于可能被固件级恶意代码利用、绕过操作系统管控、甚至在带外管理（如iDRAC/iLO）中被映射启用。
一、确认USB网卡真实形态，避免误判
很多所谓“USB网卡”实为：
- M.2 Key E/A 或 Mini PCIe 无线模块：外观像SSD但无存储功能，常标有Intel AX200/AX210、Realtek RTL8822CE、MediaTek MT7921等型号，走PCIe ×1 + USB 2.0（用于蓝牙），不是插在USB口上的设备，而是直接焊在主板或插在专用插槽里；
- USB-to-Ethernet 转接网卡：如ASIX AX88179、Realtek RTL8153，外观是USB-A口直插式，内部含USB协议桥接芯片，属于标准USB设备类，但驱动加载后可获得完整网络栈权限；
- 集成在板载USB Hub中的网卡功能：部分服务器主板（尤其OEM定制款）将USB网卡逻辑集成进南桥或USB主控芯片，无独立模块，仅靠BIOS设置无法完全隔离。
二、物理拆除：最不可绕过的一步
只要服务器允许开箱且非密封设计，优先执行物理移除：
- 断电并释放静电后，打开机箱，重点检查：M.2 Key E/A 插槽（通常靠近CPU或内存插槽，标有“WLAN”“CNVi”或小天线接口）、Mini PCIe 插槽（常见于老款服务器）、以及主板边缘标注“F_WLAN”“BT/WIFI”的排针；
- 若发现无线模块，直接拔出，用防静电袋封存，切勿仅禁用BIOS选项后留着模块在位（部分固件可在Secure Boot关闭时重新激活）；
- 对USB转接网卡：若已插在服务器前面板或后置USB口上，直接拔除；若为板载USB网卡（如某些国产信创服务器把RTL8153芯片直接贴在主板上），需定位其USB供电路径（常为VBUS线路），用万用表确认后，物理割断或移除对应保险丝（如F1/F2）或0Ω电阻（操作前务必拍照记录原貌）。
三、BIOS/UEFI固件级同步封禁（拆除后必须补刀）
物理拆除解决“有没有”，BIOS设置解决“能不能再装”：
- 重启进UEFI（Dell按F2、HPE按F9、Lenovo按F1），进入 System Configuration → Integrated Devices 或 Advanced → Onboard Devices Configuration；
- 将以下选项全部设为 Disabled：
– WLAN Controller（名称可能为“Intel CNVi”，“Wireless LAN”，“WiFi”）
– Bluetooth Controller（常与WLAN绑定）
– USB Controller（若该网卡走USB协议，此项必关）
– USB Boot Support & Legacy USB Support（防Live USB绕过）； - 启用 Secure Boot 并设置UEFI管理员密码，防止他人重置配置或刷写恶意固件。
四、Linux内核层冗余加固（适用于RHEL/CentOS/Ubuntu Server）
即使前两步完成，仍建议在启动参数中加入驱动屏蔽，形成“拆除+固件+内核”三重锁：
- 编辑 /etc/default/grub，在 GRUB_CMDLINE_LINUX 行末追加：
modprobe.blacklist=usbnet,cdc_ether,rndis_host,ax88179_178a,rtl8152,rtl8153 - 对已知芯片明确禁用（如AX200系列）：
modprobe.blacklist=iwlwifi btusb - 执行 grub2-mkconfig -o /boot/grub2/grub.cfg（RHEL系）或 update-grub（Debian系），再重启生效。
不复杂但容易忽略：物理拆除后，务必验证UEFI是否真的不再枚举该设备（开机自检日志中不应出现WLAN/USB网卡初始化信息），再配合内核dmesg | grep -i "usb\|wlan" 确认无驱动加载痕迹。做到这四步，USB网卡才真正从服务器物理世界中消失。
