SSH ControlPath 怎么避免不同主机复用同一个 socket

SSH 连接复用时，ControlPath 就是“这条连接属于谁”的本地标识。不同主机如果最终展开成同一个 socket 路径，后启动的会话就可能尝试接入错误的 master，或者因为 socket 已存在而出现难以理解的复用失败。最省心的做法是使用包含连接关键字段的 %C，并把 socket 放进只有当前用户可访问的目录。

官方文档：https://man.openbsd.org/ssh_config

把 ControlPath 看成连接身份

ControlMaster 打开后，SSH 客户端会在 ControlPath 指定的位置监听控制 socket；后续会话用相同路径寻找 master。也就是说，这个路径不是普通临时文件名，而是复用判定的一部分。

一个能区分连接的最小身份通常包括远端主机、远端端口和远端用户。通过跳板机访问时，跳板配置也可能改变实际连接拓扑，所以 OpenSSH 还提供了 %j。官方手册建议，机会式连接复用的路径至少包含 %h、%p、%r，或者使用 %C。

先拆开 %h、%p、%r、%j 和 %C

这些 token 的职责不同，混用时最容易误判。%h 是远端主机名，%p 是远端端口，%r 是远端用户名；%j 是 ProxyJump 的内容，没有跳板时为空。%C 则是 %l%h%p%r%j 的哈希结果。

另一个常被忽略的 token 是 %n：它代表命令行最初写入的主机名，而不是经过 Hostname 处理后的目标名。比如 Host prod-a 和 Host prod-b 都设置了同一个 Hostname 10.0.0.8，那么它们的 %h 相同，但 %n 不同。

默认配置：用 %C 生成稳定路径

对大多数开发机和运维跳板配置，可以把公共部分放在 Host * 中。目录先创建出来并限制权限，避免控制 socket 被同机其他用户读取或写入。

# 创建只属于当前用户的控制 socket 目录，避免其他用户干扰复用状态。
mkdir -p "$HOME/.ssh/cm"
chmod 700 "$HOME/.ssh/cm"

# ~/.ssh/config：用 %C 综合连接身份，避免路径过长和字段遗漏。
Host *
    ControlMaster auto
    ControlPersist 10m
    ControlPath ~/.ssh/cm/%C

ControlMaster auto 表示优先尝试复用、没有 master 时再建立普通连接；ControlPersist 10m 让 master 在初始会话结束后保留一段时间。本文关注的是路径唯一性，这两个选项只是为了让示例能够放进常见的复用配置中。

为什么固定路径会发生碰撞

下面这种写法把所有连接都指向同一个文件名。只要同一用户在不同目标之间使用它，就会让“路径存在”与“路径属于哪个目标”失去联系。

# 反例：所有 Host 都使用同一个 socket 名称，不能区分目标。
Host *
    ControlMaster auto
    ControlPath ~/.ssh/cm/master.sock

即使路径里有主机名，也要检查它是否真的包含了最终目标、端口和用户。例如只用 %n 时，两个不同端口若共用同一个别名就仍可能冲突；只用 %h 时，同一主机上的不同端口或不同用户又会被压缩到一起。

用 ssh -G 排查最终 ControlPath

配置文件可能经过多个 Host 匹配块、Hostname 改写和 ProxyJump 组合。排查时要看 SSH 客户端合并后的结果。ssh -G 会打印最终配置，适合先确认路径是否按预期展开。

# 查看某个别名合并后的最终配置，只筛选本次问题相关的字段。
ssh -G prod-a | grep -E '^(hostname|port|user|proxyjump|controlmaster|controlpersist|controlpath) '

# 对第二个目标重复查看，用肉眼比较 controlpath 是否相同。
ssh -G prod-b | grep -E '^(hostname|port|user|proxyjump|controlmaster|controlpersist|controlpath) '

如果两个目标的 controlpath 相同，先按顺序检查：是否误用了固定文件名；%p 是否缺失；不同用户是否只写了同一个公共别名；跳板是否不同但配置没有纳入路径；最后再检查两个别名是否本来就解析到了同一个 Hostname。

需要按别名隔离时，把 %n 加进来

共享同一个最终目标通常是合理的：例如 prod-a 和 prod-b 只是团队约定的两个入口，且它们的主机、端口、用户和跳板完全一致。但如果两个别名代表不同的配置语义，或者你希望它们分别保留 master，就不能只看最终目标。

# 需要让原始别名也参与区分时，把 %n 放到 %C 前面。
# %n 保留命令行输入的别名，%C 继续覆盖主机、端口、用户和跳板信息。
Host *
    ControlMaster auto
    ControlPersist 10m
    ControlPath ~/.ssh/cm/%n-%C

这会牺牲一点路径长度，换来别名级隔离。若环境中的别名很多，先用 ssh -G 观察实际展开后的长度；一旦超过系统对 Unix socket 路径的限制，优先回到纯 %C，或把控制目录放到更短的绝对路径。

发布前检查：目录、旧 socket 与配置边界

1. 确认 ControlPath 至少能区分目标主机、端口和远端用户；通用场景优先使用 %C。
2. 确认控制目录由当前用户拥有且不可被其他用户写入，目录权限通常设置为 700。
3. 对每个常用别名运行一次 ssh -G，比较最终的 hostname、port、user、proxyjump 和 controlpath。
4. 只有在确实需要按别名隔离时才加入 %n，不要为了“看起来更唯一”无限拼接字段。
5. 如果配置改过路径，先使用 SSH 的控制操作关闭旧 master，再删除确认不再使用的旧 socket；不要直接把仍在服务的 socket 当作普通临时文件覆盖。

几个容易混淆的问题

只写 %h 能不能避免不同主机冲突？

只能区分主机名不同的情况。同一主机使用不同端口或不同远端用户时，仍可能共享路径，所以通用配置不建议只写 %h。

%C 是不是按 SSH 别名计算的？

不是。%C 由本地主机名、最终远端主机名、端口、远端用户和跳板内容组成。若两个别名经过配置后得到同一组信息，它们可能共享同一个哈希路径；需要别名级隔离时使用 %n-%C。

ControlPath 唯一了，连接就一定能复用吗？

不一定。路径唯一只解决“找到哪一个 socket”的问题，master 是否仍在、认证身份是否相容、权限是否正确，还要由 SSH 客户端的实际连接条件决定。本文不把路径唯一性等同于复用成功。

总结

避免不同主机复用同一个 SSH socket，核心不是给文件名随便加一段字符串，而是让 ControlPath 表达稳定的连接身份。默认使用 %C，它综合了本地端、远端主机、端口、用户和跳板信息；需要区分两个指向同一目标的别名时，再加入 %n。最后用 ssh -G 检查最终配置，并把控制目录权限收紧，通常就能把这类“明明连的是不同目标，却复用了同一个 socket”的问题定位清楚。