ssh会话复用不牺牲安全，首次连接完整执行认证与加密，后续复用已建立隧道；需在~/.ssh/config中配置controlmaster auto、controlpath ~/.ssh/ctrl-%r@%h:%p和controlpersist 600，并手动预热主通道。
SSH 会话复用不是“省事换安全”，而是让首次连接走完全部认证和加密流程，后续连接直接复用已建立的隧道——握手从秒级降到毫秒级，且不跳过任何安全环节。
核心配置三要素
必须在 ~/.ssh/config 中设置，命令行临时加参数无效：
-
ControlMaster auto：自动判断是否新建主连接。没有时创建，有则复用，无需手动加
-M或-S -
ControlPath ~/.ssh/ctrl-%r@%h:%p：路径含用户名（%r）、主机（%h）、端口（%p），确保不同连接互不干扰；必须放在
~/.ssh/下，权限设为700 -
ControlPersist 600：主连接空闲 10 分钟后自动退出，兼顾效率与资源回收；调试可设为
5d，生产建议不超过300（5 分钟）
首次连接要主动触发
配置写完不会自动生效，需手动“预热”一次主通道：
- 执行任意完整登录命令，例如：
ssh user@host -p 2222 "exit" - 检查套接字是否生成：
ls -l ~/.ssh/ctrl-user@host:2222 - 确认主进程运行中：
ssh -O check user@host -p 2222，返回Master running (pid: XXX)即成功 - 若失败或残留旧连接，用
ssh -O exit user@host -p 2222清理后重试
哪些操作能自动复用
只要目标主机匹配配置中的 ControlPath 规则，以下全部受益：
- 连续多条
ssh user@host "cmd"命令 - 混用
scp、rsync -e "ssh"向同一主机传文件 - Ansible 批量执行（需确保
ansible.cfg中未覆盖ssh_args，否则可能绕过配置） - 多个终端、tmux 窗口、IDE 远程终端同时连同一台服务器
常见问题排查要点
复用失效通常不是功能故障，而是细节疏漏：
- 套接字目录不存在或权限不对：运行
mkdir -p ~/.ssh/ctrl && chmod 700 ~/.ssh/ctrl -
ControlPath缺少%r或%h，导致不同用户/主机共用一个 socket 文件 - 服务端禁用了
AllowTcpForwarding或限制了最大连接数，需检查/etc/ssh/sshd_config - 网络中断后主连接僵死：先
ssh -O exit，再重新触发首次连接
