精通 DevOps 工具与最佳实践 - DevOps 知识中心 精通 DevOps 工具与最佳实践 - DevOps 知识中心

加速 SSH：通过连接复用实现更快的会话

利用连接复用技术解锁近乎瞬时的 SSH 连接。本全面指南详细介绍了如何配置关键的 SSH 客户端指令：`ControlMaster`、`ControlPath` 以及强大的 `ControlPersist`。学习建立单个持久的“主”连接，从而大幅减少后续会话的身份验证开销。包含全局和特定主机配置的实用示例、验证技巧以及基本故障排除建议，助您实现更高效的工作流程。

加速 SSH：通过连接复用实现更快的会话

SSH 连接复用使得重复的 SSH 命令感觉快得多，因为第二个命令可以重用现有的已验证连接。如果你运行 ssh host uptime，然后运行 ssh host df -h，接着通过 scp 向同一主机传输文件，只有第一个连接需要完整的握手和身份验证过程。

这对于打开许多短会话的管理员、开发人员和自动化工具尤其有用。这不是魔法，也不会让远程命令运行得更快。它只是消除了重复的设置成本。

理解 SSH 连接开销

默认情况下，每个标准的 SSH 会话都会建立一个新的 TCP 连接并执行完整的握手。此过程包括：

  1. 密钥交换： 确定共享密钥和加密算法。
  2. 身份验证： 验证用户凭据（密码、密钥文件或双因素令牌）。
  3. 会话设置： 初始化终端或命令通道。

在附近的局域网中，这种设置成本很小，但在高延迟链路、VPN、堡垒主机或需要硬件支持密钥或多因素提示的账户上则非常明显。连接复用通过保持主连接打开并将新会话路由通过它来避免重复大部分工作。

复用如何工作

连接复用利用本地 Unix 域套接字（本地机器上的一个文件）在主 SSH 进程和任何新的从属进程之间进行通信。

  • 主连接： 你运行的第一个 SSH 命令会创建持久连接并设置通信套接字。
  • 控制路径： 后续会话用来检查并连接到主连接的指定本地文件路径（套接字）。
  • 重用连接： 任何针对同一有效主机、用户和端口的后续 SSH 命令都会通过本地套接字连接到主连接，从而避免全新的完整 SSH 设置。

关键配置指令

要启用连接复用，你需要配置 SSH 客户端设置，通常是在用户特定的配置文件（~/.ssh/config）中。三个关键指令是 ControlMaster、ControlPath 和 ControlPersist。

1. ControlMaster

此指令指定 SSH 是否应尝试创建主连接或重用现有连接。

值 描述
no （默认）标准单连接模式。
yes 强制会话成为主连接并等待从属连接。（如今很少单独使用）。
auto 首选设置。如果主连接存在，则重用它；否则，启动一个新的主连接。

对于大多数配置，ControlMaster auto 是实用的默认设置。

2. ControlPath

用于通信的 Unix 域套接字文件的路径。此路径必须对每个远程主机、用户和端口组合唯一，以防止会话混淆控制通道。

在路径中使用变量可确保唯一性：

变量 描述
%r 远程用户名
%h 远程主机名
%p 远程端口

ControlPath 示例：

ControlPath ~/.ssh/sockets/%r@%h:%p

提示： 始终为这些套接字创建一个专用目录（mkdir -p ~/.ssh/sockets）并确保其具有安全权限（chmod 700 ~/.ssh/sockets）。

3. ControlPersist

此指令告诉主连接在初始命令完成后保持打开多长时间。

在 ControlPersist（在 OpenSSH 5.6 中引入）之前，主连接必须保持附加到终端会话。使用 ControlPersist，主进程会分离并在后台保持活动状态。

值 描述
no 终端关闭时，主连接立即关闭。
yes 主连接无限期保持（直到手动关闭或系统重启）。
时间值 指定持续时间（例如，5m 表示 5 分钟，1h 表示 1 小时）。在此不活动期后连接关闭。

对于典型的工作会话，将 ControlPersist 设置为 10m 或 15m 是一个合理的起点。在共享工作站或敏感的跳板主机上使用较短的值。

在 ~/.ssh/config 中的实际实现

以下示例演示了如何在 SSH 客户端配置文件中配置复用。

示例 1：全局配置

此配置将连接复用应用于你连接到的 所有 远程主机，假设它们在标准端口 22 上运行。

# 所有主机 (*) 的配置
Host *
    # 启用连接重用或启动
    ControlMaster auto

    # 在最后一个会话关闭后，保持连接活动 15 分钟
    ControlPersist 15m

    # 定义套接字路径，确保基于用户、主机和端口的唯一性
    ControlPath ~/.ssh/sockets/%r@%h:%p

    # 可选：在某些低带宽链路上有用，但并非总是更快
    Compression yes

示例 2：特定主机配置

通常更好的做法是将复用限制在经常访问的主机或组。

# 特定于匹配 'prod-*' 的主机的配置
Host prod-*
    HostName %h.example.com
    ControlMaster auto
    ControlPersist 5m
    ControlPath ~/.ssh/sockets/%r@%h:%p

# 特定于跳板主机的配置（可能需要更长的持久性）
Host jumpbox
    ControlMaster auto
    ControlPersist 1h
    ControlPath ~/.ssh/sockets/%r@%h:%p

使用、验证和管理

1. 验证速度提升

你可以使用 time 命令轻松验证性能提升。

第一次连接：

$ time ssh myhost exit

real    0m1.234s
user    0m0.045s
sys     0m0.015s

主连接存活时的后续连接：

$ time ssh myhost exit

real    0m0.045s
user    0m0.005s
sys     0m0.003s

2. 检查主连接状态

一旦建立了主连接，套接字文件就会存在于你指定的 ControlPath 中。你可以使用 -O（控制选项）标志检查连接状态。

# 检查到 myhost 的连接是否活动
ssh -O check myhost

如果成功，输出将确认套接字连接已打开。

3. 终止主连接

如果你需要立即关闭持久的主连接（例如，因为身份验证凭据已更改或你需要测试新配置），请使用 exit 控制选项：

# 终止到 myhost 的主连接
ssh -O exit myhost

此命令指示主进程优雅地关闭。后续会话将被迫创建一个新的主连接。

更安全的默认配置

在较新的 OpenSSH 客户端上，%C 通常是比手动组合 %r、%h 和 %p 更好的 ControlPath 令牌。它会扩展为连接详细信息的哈希值，从而避免长的 Unix 套接字路径和主机名中的尴尬字符。

Host *
    ControlMaster auto
    ControlPersist 10m
    ControlPath ~/.ssh/sockets/%C

套接字路径长度很重要，因为 Unix 域套接字具有平台特定的限制。像 ~/.ssh/sockets/[email protected]:2222 这样的长路径在某些系统上可能会失败。如果你看到关于控制路径太长的错误，请切换到 %C。

还要确保在依赖此配置之前套接字目录存在：

mkdir -p ~/.ssh/sockets
chmod 700 ~/.ssh/sockets

何时避免复用

不要盲目地为每种情况启用复用。有几种情况需要小心：

  • 更改账户权限： 如果在会话期间组权限、强制命令或服务器端账户策略发生更改，则重用的连接可能无法反映新状态，直到主连接关闭。
  • 堡垒机和跳板主机故障排除： 在测试连接失败时，禁用复用，以便你知道每个命令都会创建一个新的路径。
  • 高度敏感的主机： 持久的主连接会从你的本地账户保持一个经过身份验证的通道，直到 ControlPersist 过期。在具有正确权限的个人工作站上这通常没问题，但它可能不适合所有安全策略。

对于单个命令，像这样禁用重用：

ssh -o ControlMaster=no -o ControlPath=none user@host

与自动化工具的复用

Ansible、rsync、基于 SSH 的 Git 和部署脚本都可以从复用中受益，因为它们经常打开许多短会话。对于 Ansible 来说，SSH 参数通常位于 ansible.cfg 中：

[ssh_connection]
ssh_args = -o ControlMaster=auto -o ControlPersist=10m -o ControlPath=~/.ssh/sockets/%C

如果你的自动化在 CI 中运行，请考虑运行器的生命周期。短命的 CI 作业可能受益不大，因为工作空间在作业结束后就消失了。长命的部署主机可以受益很多，但它也需要清理和可预测的权限。除非你完全理解安全含义并使用私有子目录，否则不要将控制套接字放在共享的世界可写目录（如 /tmp）中。

对于 rsync，当你的工作流程针对同一主机运行多个单独的 rsync 或 ssh 命令时，复用最有帮助：

rsync -az ./release/ app@web01:/opt/app/releases/current/
ssh app@web01 'systemctl --user restart app'
ssh app@web01 'systemctl --user status app --no-pager'

第一个命令打开主连接。如果主机、用户、端口和有效的 SSH 选项匹配，接下来的两个命令可以重用它。

调试过时套接字问题

有时，在主连接已死亡后，套接字文件仍然存在。当发生这种情况时，后续的 SSH 命令可能会打印关于连接到控制套接字的错误，然后回退到正常连接，或者根据使用的选项可能会失败。

首先检查主连接：

ssh -O check web01

如果失败并且你可以在 ~/.ssh/sockets 下看到一个旧的套接字，请删除那个过时的文件。如果这种情况经常发生，请检查你的工作站是否休眠、VPN 断开或网络更改是否导致主连接死亡。在不稳定的网络上，较短的 ControlPersist 可能比长期存在的主连接更好。

你还可以要求 SSH 在调试时更明确：

ssh -vvv web01 exit

查找提及 ControlPath、mux_client 或现有主连接的行。一旦你知道涉及复用，请关闭主连接并重新测试，然后再将问题归咎于 DNS、密钥或远程 SSH 守护进程。

跳板主机和选项匹配

复用与有效的 SSH 目标和选项相关联。如果你一次直接连接到同一台服务器，另一次通过跳板主机连接，这些不一定是相同的控制连接。当一个命令使用主机别名而另一个命令使用原始主机名并带有不同的 User、Port、ProxyJump 或身份文件设置时，情况也是如此。

为了可预测的重用，请将实际的连接详细信息放在 ~/.ssh/config 中，并在各处使用别名：

Host app-prod-1
    HostName 10.20.30.41
    User deploy
    ProxyJump bastion-prod
    IdentityFile ~/.ssh/prod_deploy
    ControlMaster auto
    ControlPersist 10m
    ControlPath ~/.ssh/sockets/%C

然后运行 ssh app-prod-1、scp file app-prod-1:/tmp/ 以及针对 app-prod-1 的自动化。混合使用别名、IP 地址和一次性的 -J 标志会使理解命令是否应重用现有主连接变得更加困难。

这也是为什么团队应该在操作手册中记录首选主机别名。共享约定可以防止在部署期间出现令人困惑的半重用连接。

故障排除和最佳实践

目录和权限

安全至关重要。SSH 创建的套接字文件包含有关你连接的元数据，包括潜在的控制命令。确保套接字目录具有严格的权限。

# 如果目录不存在，则创建它
mkdir -p ~/.ssh/sockets

# 设置严格权限（仅所有者可访问）
chmod 700 ~/.ssh/sockets

控制多个用户

如果你使用不同的用户名连接到 同一 主机，复用将自动处理此问题，因为 ControlPath 中的 %r（远程用户）变量会确保为 user1@host 和 user2@host 创建单独的套接字。

与其他客户端的冲突

如果你运行依赖 SSH 的自动化脚本或工具，请确保它们配置为使用相同的复用设置，或者在必要时显式禁用它。如果脚本需要确保新连接，你可以在命令行上强制非复用行为：

ssh -o ControlMaster=no user@host

SSH 连接复用是频繁使用 SSH 时最简单的质量改进之一。配置 ControlMaster auto，使用唯一且简短的 ControlPath，设置合理的 ControlPersist，并使用 ssh -O check host 进行验证。如果在故障排除期间连接行为异常，请使用 ssh -O exit host 关闭主连接，并使用新会话再次测试。