ServerAliveInterval是SSH客户端侧维持跨NAT/防火墙通道不假死最直接有效的手段，每30秒发送一次SSH_MSG_GLOBAL_REQUEST保活请求，配合ServerAliveCountMax 3容忍抖动，强制刷新设备会话映射表，避免静默断连。

ServerAliveInterval 是客户端侧维持跨 NAT/防火墙通道不假死最直接有效的手段。它的核心作用不是“加密加固”，而是用合规、低扰动的方式向中间设备持续证明连接仍活跃，从而阻止其因空闲超时而单向回收会话映射表。

为什么NAT和防火墙会让SSH“假死”

大多数企业级 NAT 网关（如华为 USG、深信服 AF）、云厂商 NAT Gateway 或运营商级防火墙，都采用“有状态会话跟踪”。它们只保留双向数据流活跃的连接条目；一旦检测到某条 TCP 连接在设定时间内（常见 300–600 秒）无应用层载荷交互，就会从状态表中清除该映射——此时 TCP 层仍显示 ESTABLISHED，但后续任何数据包都会被丢弃，表现为“静默断连”。

这种断连对用户极不友好：终端无报错、输入无响应、Ctrl+C 失效，直到你敲下回车才突然弹出 Connection closed by remote host。

ServerAliveInterval 如何穿透这类设备

它发送的是 SSH 协议层的 SSH_MSG_GLOBAL_REQUEST 类型保活请求，全程走已建立的加密通道，具备以下关键特征：

• 携带完整 SSH 协议头与随机填充，被绝大多数状态设备识别为“有效业务流量”
• 不执行命令、不传输日志或文件内容，零业务干扰
• 服务端收到后必须响应，形成闭环，强制刷新 NAT 映射表的最后活跃时间戳
• 不依赖底层 TCP Keepalive（其纯 ACK 包常被忽略），专为对抗分钟级超时设计

推荐配置组合（兼顾稳定与安全）

针对跨 NAT/防火墙场景，建议采用以下参数搭配，避免过频触发风控或过长失去防护效果：

• ServerAliveInterval 30：每 30 秒发一次心跳，覆盖主流设备 5 分钟超时阈值，并留出冗余
• ServerAliveCountMax 3：允许连续 3 次未响应（即约 90 秒失联窗口），容忍短暂网络抖动
• 不启用 TCPKeepAlive（除非明确需要底层链路探测），避免双心跳策略冲突或被误判为扫描

安全落地方式（不引入新风险）

配置方式决定是否影响整体安全性。优先选择以下路径：

• 用户级 ~/.ssh/config 配置（最推荐）：仅对目标 Host 生效，权限设为 600，例如：
  Host prod-server
    HostName 10.20.30.40
    User ops
    ServerAliveInterval 30
    ServerAliveCountMax 3
• 命令行临时启用（调试用）：如 ssh -o ServerAliveInterval=30 -o ServerAliveCountMax=3 user@host，无持久化风险
• 避免修改 /etc/ssh/ssh_config 全局配置，防止对其他 Host（如跳板机、审计系统）造成非预期行为