ssh include 指令需用绝对路径、严格权限（600）和顺序加载来实现可维护配置结构：主文件定义通用策略，子文件按场景分组（如 work.conf、cloud.conf），通配符仅支持单层，且不展开变量或相对路径。

用 Include 指令拆分 SSH 配置，核心是让主配置文件保持简洁、子配置按功能或环境归类、加载过程稳定可控——不是简单地“把内容挪出去”，而是建立可维护的结构。

明确 Include 的路径规则和安全边界

OpenSSH 的 Include 只支持绝对路径，不接受相对路径（比如 Include config.d/*.conf 会失败）。它以当前用户主目录为基准，但不自动补前缀；必须写全路径，例如：

• Include ~/.ssh/config.d/aliyun.conf ✅（推荐，清晰且跨平台）
• Include /Users/you/.ssh/config.d/homelab.conf ✅（macOS/Linux）
• Include C:/Users/you/.ssh/config.d/work.conf ✅（Windows，用正斜杠或双反斜杠）
• Include config.d/*.conf ❌（解析失败，不会自动补 ~/.ssh/）

路径中不能含未定义变量（如 ${HOME}），也不支持 shell 展开。通配符 * 可用，但仅限单层目录，不递归。

按场景分组组织子配置文件

避免把所有服务器堆在一个大文件里。建议按用途建 config.d/ 下的分类文件：

• config.d/work.conf：公司内网、跳板机、生产主机
• config.d/cloud.conf：阿里云、腾讯云、AWS 实例
• config.d/homelab.conf：树莓派、NAS、本地虚拟机
• config.d/github.conf 或 gitlab.conf：专用密钥对接代码平台

每个子文件只放相关 Host 块，彼此隔离。比如 github.conf 可单独指定 IdentityFile ~/.ssh/keys/github_key，不影响其他连接。

用通配符 + 显式顺序控制加载逻辑

Include 是顺序执行的，先写的块优先匹配。如果多个 Host 块匹配同一目标（如 Host * 和 Host github.com），只有第一个生效。

• 在主 config 文件顶部写通用策略：
  

  Host *<br>  IdentitiesOnly yes<br>  ServerAliveInterval 60

• 再逐个 Include 具体配置：
  

  Include ~/.ssh/config.d/work.conf<br>Include ~/.ssh/config.d/cloud.conf

• 最后 Include 临时或调试用的：
  Include ~/.ssh/config.d/discard/*.conf（便于快速启用/禁用）

这样既能复用全局设置，又能保证特定主机的参数不被覆盖。

权限与验证：避免静默失效

Include 的文件必须满足严格权限要求，否则 OpenSSH 直接忽略（不报错，但配置无效）：

• 主 config 文件权限必须是 600（chmod 600 ~/.ssh/config）
• 所有被 Include 的子文件也需设为 600，目录 config.d/ 权限应为 700
• 每次修改后，用 ssh -G target-host 查看实际生效参数，确认 IdentityFile、HostName 等是否正确读取
• 测试连接时加 -v 参数（ssh -v myserver），观察日志中是否加载了预期的配置块