2026：TCP keepalive、TCP_USER_TIMEOUT，以及在租用的 ProxyMac Mac mini 上撐住閒置時的 SSH
當維運團隊從歐洲或美東跨洋連到座落於香港、東京、首爾、新加坡或美國 的 ProxyMac Mac mini 時，常見情境是：敲鍵時一切正常，但只要讓 SSH 在 Cursor 或 tail -f 上閒置 7 到 25 分鐘，工作階段就無聲息消失。根因鮮少是「Apple 晶片上的 SSH 壞了」—多半是路徑上安靜的中間盒逾時 疊上預設不證明活躍的通訊端。本文提供兩層可疊加的心智模型（OpenSSH 保活加上內核 TCP 行為）、一張以可觀測徵候為索引的矩陣、一段可貼上的 ~/.ssh/config（30 秒 等級的應用層探測、連續 四 次無回應後由客戶端中止），以及能貼進 Confluence 的七步 證據（不少訪客 Wi-Fi 的營運商在閒置計時上落在120 秒 帶寬階層）。文末也連到 autossh、Mosh 與保活、高延遲客戶端調整 與 MTU/PMTUD 黑箱 等文，免在實情是 IP 優先序與壓縮時仍只盯 TCP 計時。若你希望在通訊端被證明穩定後，才統一參考 說明中心 的起步內容與 各區透明價格，也請把兩邊一併加入書籤。為避免新同事在「傳奇般的掉封包敘事」中打轉，請先把長鏈路走通，再討論預算。
團隊若在亞太夜間同時執行長連線的建置，往往會在同一條高延遲路徑 上重複使用跳板與多工連線，此時「偶爾斷一次」在週報圖上會變成雜訊。把延遲分位、探測是否離開寄件端 與 應用/傳輸 層的觀測分開寫，才能與同儕討論時避免「只怪 keepalive 不夠兇」的迴圈。下文的表與 runbook 盡量把可覆核的證物寫成條目，讓你向企業或電信團隊開工單時有能引述的數字 及可重跑的步驟。在咖啡館與飯店場景，以 UDP 為優先的語音 有時會搶佇列深度，使「斷在何時」看起來隨機，遇到此情境應補上 BSSID 與上層 NAT 資訊。若實測上 RTT 已在產品容忍範圍，卻只發生在不輸入的視窗，就幾乎可以確定需要本文的雙層保活；相對地，活躍檔案傳輸也會間歇凍結時，先交叉比對 MTU 與路徑 MTU 偵測，再回到保活參數。最後，把此頁關聯的指引放進團隊 on-call 手冊的「遠路徑」章，也能降低口耳相傳造成的漂移。若你正在導入零信任或分隧道 VPN，也請一併記下政策對不同傳輸的待遇差，以免誤把公司策略寫到對手口袋。
在跨區佈建時，控制面與資料面 的責任切分要清楚：上層 orchestrator 若只在控制面看到 green，卻在資料面漏掉靜默逾時，仍會導向錯的 RCA。盡量把觀測寫到同一儀表板，並以時區 UTC 對齊，方便跨團比對。以下章節從症狀到落地，方便在事故時從目錄直接跳段。
長路徑上，閒置的 SSH 如何「靜靜斷掉」
常見的表象可分三群：（A） 沒有橫幅、也遲遲不見 Broken pipe，直到你敲鍵才甦醒或丟錯；（B） 在上一個封包之後120 到 900 秒 的倍數附近出現 client_loop: send disconnect: Broken pipe；（C） 互動殼層看起來活著，但 scp 或 rsync 長時間卡在 0%。A 多半與上層 NAT 在無聲路徑中到期 且沒有送 RST 有關，飯店網路常見。B 多對應有狀態防火牆 對「靜默流最長可多久」的規則。C 常與 PMTUD 黑洞 交疊，在你鑽保活前請先參考 MTU 專文。要降低假陽性，建議在相同用戶端上並行跑帶時間戳的輕量探針，釐清是營運商策略、本機睡眠、還是雙方時鐘不對。若你必須同時觀測有線與行動熱點的差異，請在事件紀錄裡寫出介面與路徑選擇，讓一週後的你不會讀懂一半。
- 以 SSH 隧道承載的螢幕分享 會讓畫面停、鍵盤不停時的閒置縫隙變大。
- 多段跳板 讓各段計時相乘，每一躍點都可能有大約 300 秒 的閒置方針。
- 由 LaunchAgent 啟動的 git pull 在供應商視角仍像靜止連線，雖然伺服端仍有背景工作。
內核 TCP 保活與 OpenSSH 的 ServerAliveInterval
在 macOS，內核堆疊能依 net.inet.tcp.keepidle 等條件延遲之後送保活段，但你不能只用本機 sysctl 就遙控中間的盒子。OpenSSH 的 ServerAliveInterval 會挹注對 sshd 有語意的訊息，不必等 某些內建預設的 TCP 靜止窗—它們有時長達數小時。兩層是互補的：SSH 層在證明SSH 連線 仍活；TCP 層在證明四元組 仍在端到端被接納。在混合雲、零信任邊界、或企業 SSL 掃描器介入時，常見只補一層仍偶爾斷的狀況，把兩層的變更一併記錄最實在。同時，若你開了 VPN，要記下分流與不同閒置 UDP/TCP 策略，以免把公司政策誤寫在對方身上。
依失敗型態而定的調參矩陣
| 徵候 | 第一顆旋鈕 | 第二顆旋鈕 | 升級路徑 |
|---|---|---|---|
| 閒置超過 15 分鐘、一按鍵就恢復 | ServerAliveInterval 30 | 減少跳板層數 | 取 Wi-Fi BSSID，參考 訪客 Wi-Fi 文 |
| Broken pipe 落在 300 秒 的倍數 | 客戶端 TCPKeepAlive yes | 依 ControlMaster 文 啟用多工通訊端 | 向供應商索取文件化閒置上界 |
大檔 scp 在無閒置下仍停住 | 查 MSS/夾位 | 執行 PMTUD 測試 | 用延遲矩陣改選地區 |
| 僅夜間建置偶爾掛 | 在 mini 上排夜間 curl 輕觸 | 記錄 WAN DHCP 續租 | 讓作業以 mini 端主動拉取 |
為 ProxyMac 區段準備客戶端 ~/.ssh/config
每個地區寫出清楚的主機別名，讓新同事貼上即得同組數值。下例以香港 為本，可原樣抄到 日/韓/新/美 別名。讀完高延遲專文再改 IPQoS，以免在大檔案拷貝時，錯用吞吐/低延遲類導致保活小包挨餓。在跨洲鏈路，ControlPath 要含使用者與主機，避免在共用筆電上多租戶撞名。最後把此段和安全基線（如演算法表）以分檔管理，以 Include 引入，能顯著降低衝突與誤傷正式環境。若團隊還有 bastion 或 jumphost，請在別名寫上預期跳轉，避免新人誤以為直連。若要加入身份檔，記得在版本庫內以範本呈現、以文件描述實際路徑，別把祕密字串寫入 Git。
Host proxymac-hk-dev
HostName your-node.proxymac.com
User youruser
ServerAliveInterval 30
ServerAliveCountMax 4
TCPKeepAlive yes
IPQoS throughput
ControlMaster auto
ControlPath ~/.ssh/cm-%r@%h:%p
ControlPersist 10m
七步探針：SRE 可直接放進手冊
- 以
ping -c 20記基線 RTT，存中位與 p95。 - 開啟單純的 SSH，閒置 12 分鐘，觀察殼層是否仍會 echo。
- 在丟棄可的工作階段中開
ssh -vvv，搜尋是否卡在expecting SSH2_MSG_KEXINIT等步驟。 - 以
scp平行傳一個 512MB 檔；若 90 秒 之後突崩，多懷疑 MTU，而非保活參數。 - 寫下分隧道企業 VPN 的狀態，它常對到 mini 的 TCP 與 idle UDP 不對稱處理。
- 若你能管
sshd，讓ClientAliveInterval與客戶端步調一致；不要一邊 10 秒、一邊 30 秒 浪費能量。 - 把定案設定 與 OpenClaw 閘道的 systemd/launchd 筆記放進同儲存庫，人與自動化讀到同一份事實。
與 autossh、Mosh、高延遲調參併用—不要重算同一修補兩次
我們的 autossh 與 Mosh 文 已寫了行程監控與 UDP 取向的彈性；但當你必須讓 純 OpenSSH 走 TCP，例如 git+ssh、ssh -L 到本機的 OpenClaw 閘道、或 rsync --partial 依 SSH 時，再把本頁納入清單。若要動 Cipher 與壓縮，請在保活先被實測通過之後 再排序；AEAD 在 M4 大量拷貝下與 CPU 的耦合，請參 IPQoS 與 cipher 專文。團隊若在文件裡同時寫了 Mosh 與純 TCP，要標清哪些自動化語意能替代、哪些不能，以免日後稽核出現兩套說法。在架構圖上以顏色區分可替代/強依賴，也能幫新同事不踩雷。
注意： 把 ServerAliveInterval 拉到 5 秒等級，可能在少數 DDoS 邊界設備上觸發突刺偵測，請漸進調整；若邊界對突發探測回送 RST，需要與資安討論白名單與速率。若你與夥伴在不同時區輪值，也請在值班交接註明臨時提高頻寬的窗口，讓下一位不要誤讀成常態。若變更需經變更委員會，也附上兩週的先行觀測圖，較易取得放行。
常見問題
要不要在 mini 上把 sysctl 的 TCP keepidle 變得更有侵略性？ 多數時候先從用戶端改起。地端機房旁的 mini 鮮少是最脆弱那條腿。若你管理的是共用的實體實驗室，也請在變更窗裡通知所有租戶，免得不預期重啟。
ControlMaster 是否讓閒置變更糟？ 多工作階段共用一條 TCP 流可省交握成本，但命中 60 秒 等級的 Wi-Fi 配額時，會讓多個作業一併中箭—留意路徑上的併發與承載。若採用持久通訊端，記得在長假前檢查閒置長連的清理策略。若團隊同時有 CI 大檔上傳與人類互動，在矩陣上分開記錄比較能找出 RCA。
只走 IPv6 的出站怎麼辦？ Happy eyeballs 可能隱去 IPv4 的坑洞。在調參前記下 SSH 目標到底屬哪個位址族，以免兩邊寫了不相容的定時。若之後要全 IPv6 政策，也請在 DNS 與憑證覆蓋上預作演練。和 DNSSEC、反向解析相關的需求若同時在談，請一併列在工單，減少來回。若團隊還有 legacy 內部工具僅能 IPv4，要清楚標在架構圖上，避免在演練當天才發現。若你在服務層導入 mTLS，也請在代理與邊界的路徑上寫出逾時的各自責任。
為何在 ProxyMac 的 Mac mini 上，TCP 衛生學更「可量測」
租下一台內建 Apple 矽 M4 的 Mac mini，在 港/日/韓/新/美 佔一個可預期的 peering 錨，跟著工程師的筆電在咖啡廳到宅內切換的不可預測性正好相反。你能長期採 sysctl 與 nettop 基線、把 OpenClaw 自動化與 CI 祕密放在同一臺、必要時以 螢幕分享 處理權限對話。把此網路規律和 分地區的清楚價格 併讀，財務更容易理解：為亞太閒置專用開第二臺 mini，往往比讓週五晚上必斷的單一隧道全扛便宜。也請把本頁寫入新人 Runbook 與 on-call 的「遠程路徑」章。若你正在審查供應商 SLA，本頁七步也可成為驗收劇本 的參考附錄。若團隊還要兼顧桌面管控與 MDM，在敘事裡把租賃地端與人員自攜裝置的責任分線畫出來，能少掉一半會議。若你預期未來導入集中日誌，也請一開始就寫出哪些觀測不該寫到同一個匯入管線，以免成本爆炸。若產品需要地理隔離的資料，記得在租約與實體地區的對照表也同步到財務與法遵。
