SSH会话复用不牺牲安全，首次连接完整执行认证与加密，后续复用已建立隧道；需在~/.ssh/config中配置ControlMaster auto、ControlPath ~/.ssh/ctrl-%r@%h:%p和ControlPersist 600，并手动预热主通道。

SSH 会话复用不是“省事换安全”，而是让首次连接走完全部认证和加密流程，后续连接直接复用已建立的隧道——握手从秒级降到毫秒级，且不跳过任何安全环节。

核心配置三要素

必须在 ~/.ssh/config 中设置，命令行临时加参数无效：

• ControlMaster auto：自动判断是否新建主连接。没有时创建，有则复用，无需手动加 -M 或 -S
• ControlPath ~/.ssh/ctrl-%r@%h:%p：路径含用户名（%r）、主机（%h）、端口（%p），确保不同连接互不干扰；必须放在 ~/.ssh/ 下，权限设为 700
• ControlPersist 600：主连接空闲 10 分钟后自动退出，兼顾效率与资源回收；调试可设为 5d，生产建议不超过 300（5 分钟）

首次连接要主动触发

配置写完不会自动生效，需手动“预热”一次主通道：

• 执行任意完整登录命令，例如：ssh user@host -p 2222 "exit"
• 检查套接字是否生成：ls -l ~/.ssh/ctrl-user@host:2222
• 确认主进程运行中：ssh -O check user@host -p 2222，返回 Master running (pid: XXX) 即成功
• 若失败或残留旧连接，用 ssh -O exit user@host -p 2222 清理后重试

哪些操作能自动复用

只要目标主机匹配配置中的 ControlPath 规则，以下全部受益：

• 连续多条 ssh user@host "cmd" 命令
• 混用 scp、rsync -e "ssh" 向同一主机传文件
• Ansible 批量执行（需确保 ansible.cfg 中未覆盖 ssh_args，否则可能绕过配置）
• 多个终端、tmux 窗口、IDE 远程终端同时连同一台服务器

常见问题排查要点

复用失效通常不是功能故障，而是细节疏漏：

• 套接字目录不存在或权限不对：运行 mkdir -p ~/.ssh/ctrl && chmod 700 ~/.ssh/ctrl
• ControlPath 缺少 %r 或 %h，导致不同用户/主机共用一个 socket 文件
• 服务端禁用了 AllowTcpForwarding 或限制了最大连接数，需检查 /etc/ssh/sshd_config
• 网络中断后主连接僵死：先 ssh -O exit，再重新触发首次连接