11.4. 永久阻止和授权 USB 设备

流程

1. 配置 SELinux，以允许 usbguard 守护进程编写规则。

   1. 显示与 usbguard 相关的 semanage 布尔值。

      # semanage boolean -l | grep usbguard
      usbguard_daemon_write_conf     (off  ,  off)  Allow usbguard to daemon write conf
      usbguard_daemon_write_rules    (on   ,   on)  Allow usbguard to daemon write rules

      Copy to Clipboard Toggle word wrap

   2. 如果 usbguard_daemon_write_rules 布尔值已关闭，请打开它。

      # semanage boolean -m --on usbguard_daemon_write_rules

      Copy to Clipboard Toggle word wrap

2. 通过列出 USBGuard 识别的设备来确定 USB 设备的 ID：

   # usbguard list-devices
   1: allow id 1d6b:0002 serial "0000:00:06.7" name "EHCI Host Controller" hash "JDOb0BiktYs2ct3mSQKopnOOV2h9MGYADwhT+oUtF2s=" parent-hash "4PHGcaDKWtPjKDwYpIRG722cB9SlGz9l9Iea93+Gt9c=" via-port "usb1" with-interface 09:00:00
   ...
   6: block id 1b1c:1ab1 serial "000024937962" name "Voyager" hash "CrXgiaWIf2bZAU+5WkzOE7y0rdSO82XMzubn7HDb95Q=" parent-hash "JDOb0BiktYs2ct3mSQKopnOOV2h9MGYADwhT+oUtF2s=" via-port "1-3" with-interface 08:06:50

   Copy to Clipboard Toggle word wrap

3. 永久授权设备以与系统交互：

   # usbguard allow-device <ID> -p

   Copy to Clipboard Toggle word wrap

4. 永久取消授权并删除设备：

   # usbguard reject-device <ID> -p

   Copy to Clipboard Toggle word wrap

5. 永久取消授权并保留设备：

   # usbguard block-device <ID> -p

   Copy to Clipboard Toggle word wrap

验证

1. 检查 USBGuard 规则是否包含您所做的更改。

   # usbguard list-rules

   Copy to Clipboard Toggle word wrap