ssh连接复用通过复用已建立的加密隧道提升效率，不降低安全强度；需按主机粒度精准配置controlpath、controlpersist等参数，并配套运维管控与脚本规范。

SSH连接复用不是“省事换安全”，而是用更少的握手完成同样强度的加密通信——首次连接该走的密钥交换、用户认证、PAM校验一步不少，后续复用只是跳过重复协商，数据始终在原加密隧道中传输。

复用不等于共享凭证，安全边界依然清晰

每次复用都基于已建立的主连接，所有子会话共用同一套会话密钥和加密参数，不会生成新密钥、不触发新认证。控制套接字文件（如~/.ssh/ctrl-user@host:22）默认权限为600，仅属主可读写，杜绝跨用户访问。服务端也无需多开sshd进程，更不会多做一次密钥比对或PAM调用，攻击面未扩大。

精准配置，避免全局复用带来的风险

不建议在Host *下无差别启用复用，应按主机粒度单独配置，尤其区分生产、测试、跳板机等环境：

• ControlPath必须含%r@%h:%p（用户名@主机:端口），确保不同账号或端口的连接互不干扰
• ControlPersist设为600（10分钟）而非yes，闲置超时自动断连，防长期驻留
• IdentitiesOnly yes强制只用配置中指定私钥，避免ssh-agent误转发其他密钥
• ForwardAgent no保持默认，禁用代理转发，从源头切断密钥泄露路径

运维中主动管控连接生命周期

复用带来便利，也需配套管理习惯：

• 新开终端执行ssh user@host自动复用，无需额外操作
• 检查状态用ssh -O check user@host，确认主连接是否活跃
• 退出全部会话后，主连接仍后台存活，如需立即释放资源，运行ssh -O exit user@host
• 敏感操作前可临时禁用复用：ssh -o ControlMaster=no user@host，回归单次连接模式

自动化脚本里复用更需稳与准

CI/CD或部署脚本频繁调用scp/rsync/ssh命令时，复用能降耗75%以上，但要注意：

• 首次调用建议加-fN后台启动主连接：ssh -fN user@host，避免阻塞脚本
• 脚本末尾显式关闭主连接：ssh -O exit user@host，防止僵尸连接堆积
• 若脚本跨多台主机，每台必须独立ControlPath，禁止路径冲突