SSH Include 指令需用绝对路径、严格权限（600）和顺序加载来实现可维护配置结构：主文件定义通用策略，子文件按场景分组（如 work.conf、cloud.conf），通配符仅支持单层，且不展开变量或相对路径。
用 Include 指令拆分 SSH 配置，核心是让主配置文件保持简洁、子配置按功能或环境归类、加载过程稳定可控——不是简单地“把内容挪出去”，而是建立可维护的结构。
明确 Include 的路径规则和安全边界
OpenSSH 的 Include 只支持绝对路径，不接受相对路径（比如 Include config.d/*.conf 会失败）。它以当前用户主目录为基准，但不自动补前缀；必须写全路径，例如：
-
Include ~/.ssh/config.d/aliyun.conf✅（推荐，清晰且跨平台） -
Include /Users/you/.ssh/config.d/homelab.conf✅（macOS/Linux） -
Include C:/Users/you/.ssh/config.d/work.conf✅（Windows，用正斜杠或双反斜杠） -
Include config.d/*.conf❌（解析失败，不会自动补~/.ssh/）
路径中不能含未定义变量（如 ${HOME}），也不支持 shell 展开。通配符 * 可用，但仅限单层目录，不递归。
按场景分组组织子配置文件
避免把所有服务器堆在一个大文件里。建议按用途建 config.d/ 下的分类文件：
-
config.d/work.conf：公司内网、跳板机、生产主机 -
config.d/cloud.conf：阿里云、腾讯云、AWS 实例 -
config.d/homelab.conf：树莓派、NAS、本地虚拟机 -
config.d/github.conf或gitlab.conf：专用密钥对接代码平台
每个子文件只放相关 Host 块，彼此隔离。比如 github.conf 可单独指定 IdentityFile ~/.ssh/keys/github_key，不影响其他连接。
用通配符 + 显式顺序控制加载逻辑
Include 是顺序执行的，先写的块优先匹配。如果多个 Host 块匹配同一目标（如 Host * 和 Host github.com），只有第一个生效。
- 在主
config文件顶部写通用策略：
Host *<br> IdentitiesOnly yes<br> ServerAliveInterval 60
- 再逐个 Include 具体配置：
Include ~/.ssh/config.d/work.conf<br>Include ~/.ssh/config.d/cloud.conf
- 最后 Include 临时或调试用的：
Include ~/.ssh/config.d/discard/*.conf（便于快速启用/禁用）
这样既能复用全局设置，又能保证特定主机的参数不被覆盖。
权限与验证：避免静默失效
Include 的文件必须满足严格权限要求，否则 OpenSSH 直接忽略（不报错，但配置无效）：
- 主
config文件权限必须是600（chmod 600 ~/.ssh/config） - 所有被 Include 的子文件也需设为
600，目录config.d/权限应为700 - 每次修改后，用
ssh -G target-host查看实际生效参数，确认IdentityFile、HostName等是否正确读取 - 测试连接时加
-v参数（ssh -v myserver），观察日志中是否加载了预期的配置块
