如何在单台机器上实现与宿主机完全隔离的QEMU虚拟机USB直通？

我特别理解你想在QEMU虚拟机里折腾USB设备，但又怕宿主机被牵连的需求——毕竟涉及安全隔离，每一步都得谨慎。结合你试过的操作和我自己摸索的思路，整理出这些内容：

先说说我试过的方法和踩过的坑 #

• 无特殊配置直接直通：这种方式看似简单，但安全漏洞很多——VM启动前、停止后，甚至热插拔设备到运行中的QEMU时，都有短暂的间隙让设备直接和宿主机交互，完全达不到隔离要求。
• 设置USB端口authorized_default为0：把对应端口的/sys/devices/pci0000:00/0000:00:08.1/0000:05:00.4/usb3/authorized_default设为0后，设备确实不会和宿主机产生多余交互（仅必要的描述符交换，这是安全的），但QEMU也没法访问设备了。就算在QEMU运行时手动把设备的/sys/devices/pci0000:00/0000:00:08.1/0000:05:00.4/usb3/3-3/authorized设为1，控制权还是会落到宿主机手里；就算能成功给虚拟机，VM停止后宿主机依然会暴露在风险中。

测试时我用了两种QEMU参数：

• 直通物理端口：-device usb-host,hostbus=3,hostport=3
• 直通指定设备：-device usb-host,vendorid=0x04f3,productid=0x0235
  两种参数遇到的问题完全一致。

可行的解决方案（含已验证和备选思路） #

1. USBIP相关方案 #

我最初想过在一台“不在乎安全的机器”上搭建USBIP服务器，然后在VM里用USBIP客户端连接——但这要求VM有网络权限，且系统支持USBIP。后来又想到可以把USBIP客户端集成到QEMU的虚拟设备里，这样就不用VM系统支持USBIP了，宿主机也能保持安全，但还是不如单机器方案省心。

2. 直通整个USB控制器（已验证但有局限性） #

我的笔记本有两个USB控制器，各自管理两个端口。其中一个只连接了摄像头（可以通过固件设置禁用），另一个则连接了触摸板、蓝牙这些必需的内置设备。本来这个闲置的控制器是直通的理想选择，但问题来了：两个控制器和其他PCIe设备在同一个IOMMU组里，没法直接直通——除非用ACS override补丁（比如linux-zen内核自带的），但这个补丁存在潜在安全风险，可能破坏IOMMU的隔离机制，所以不太推荐。不过如果实在要试，用了补丁后确实能实现完全隔离的USB直通，效果完全符合预期。

3. 折中备选方案 #

如果不想碰ACS补丁，还有两个方向可以考虑：

• 专门准备一台不安全的机器搭建USBIP服务器，用专用的隔离网络和你的安全宿主机连接（配好严格的防火墙），然后在VM里通过USBIP访问设备，这样宿主机和不安全设备之间有网络隔离层。
• 退而求其次用最开始的“无特殊配置”方案——如果你要测试的设备没那么强的恶意性，这个风险或许是可接受的。

备注：内容来源于stack exchange，提问作者shy_potato