SSH跨多子网连接池的核心是为每个子网配置唯一ControlPath，确保主机、端口、用户及网络路径组合全局唯一，避免通道误共享；需分层设置跳板机与内网节点的独立ControlPath，并通过脚本清理残留、添加心跳保活。

用 SSH 的 ControlPath 构建跨多子网的连接池，核心不是“拼凑多个配置”，而是让每个子网目标拥有独立、可复用、不冲突的控制通道。关键在于：ControlPath 路径必须唯一标识主机+端口+用户+网络路径，否则不同子网的连接会误共享或互相干扰。

为每个子网定义专属 Host 别名与 ControlPath

不能共用一个 Host 名指向不同 IP，也不能让 ControlPath 模板缺失子网特征。例如，你有两套环境：

• 研发子网：10.10.20.0/24 → 网关 gw-dev.example.com
• 生产子网：172.16.100.0/24 → 网关 gw-prod.example.com

在 ~/.ssh/config 中分别配置：

Host dev-node-*
  HostName %h
  User devops
  Port 22
  IdentityFile ~/.ssh/id_ed25519_dev
  ControlMaster auto
  ControlPath ~/.ssh/ctrl-dev-%h-%p-%r
  ControlPersist 300
<p>Host prod-node-*
HostName %h
User admin
Port 2222
IdentityFile ~/.ssh/id_ed25519_prod
ControlMaster auto
ControlPath ~/.ssh/ctrl-prod-%h-%p-%r
ControlPersist 600

这样，ssh dev-node-10.10.20.5 和 ssh prod-node-172.16.100.12 各自使用隔离的 socket 文件，不会越界复用，也不会因端口或用户差异导致认证失败。

穿透跳板机时嵌套 ControlPath（双层复用）

若需先连跳板机（如 bastion.dev.example.com），再从跳板机访问内网节点（如 10.10.20.5），应分两层控制：

• 第一层：跳板机自身连接复用（ControlPath ~/.ssh/ctrl-bastion-%h-%p-%r）
• 第二层：通过 ProxyCommand 复用跳板机通道，同时为内网目标单独建 ControlPath

示例配置：

Host bastion
  HostName bastion.dev.example.com
  User jumpuser
  IdentityFile ~/.ssh/id_ed25519_bastion
  ControlMaster auto
  ControlPath ~/.ssh/ctrl-bastion-%h-%p-%r
  ControlPersist 1800
<p>Host dev-intranet-*
HostName %h
User appuser
ProxyCommand ssh -W %h:%p bastion
IdentityFile ~/.ssh/id_ed25519_intra
ControlMaster auto
ControlPath ~/.ssh/ctrl-intra-%h-%p-%r
ControlPersist 300

此时 ssh dev-intranet-10.10.20.5 会自动复用已建立的 bastion 连接，并为该内网地址新建独立隧道，实现“跳板复用 + 内网复用”双重加速。

脚本中安全调用：避免 ControlPath 冲突与残留

自动化脚本频繁启停易造成 socket 文件残留或权限错乱，建议统一规范：

• 所有脚本开头执行 ssh -O exit -S ~/.ssh/ctrl-* 2>/dev/null || true 清理旧通道（用通配符匹配，但注意别误删其他环境）
• 改用带时间戳或 PID 的 ControlPath 模板（仅限临时任务）：ControlPath ~/.ssh/ctrl-%h-%p-%r-$$，其中 $$ 是当前 shell PID，确保每次脚本运行互不干扰
• 对关键子网节点，启用 ControlPersist 600（10 分钟），既避免频繁重建，又防止长期驻留占用资源

验证与排障要点

跨子网连接池是否生效，不能只看命令是否成功，要看底层复用是否真实发生：

• 执行 ssh -O check dev-node-10.10.20.5，返回 Master running (pid=12345) 表示主连接活跃
• 用 lsof -U | grep ctrl- 查看 socket 文件被哪些 ssh 进程持有
• 若某子网始终无法复用，检查其 ControlPath 是否含非法字符（如下划线、点号过多导致路径截断），推荐只保留字母、数字、短横线
• 防火墙/NAT 设备有时会重置空闲连接，可加 ServerAliveInterval 30 配合 ControlPersist 维持心跳