SSH启用主机名规范化后，如何让特定主机的配置覆盖默认配置生效？

我完全懂你遇到的这个坑——启用主机名规范化后，用短域名访问老服务器时，默认的现代MAC配置先抢了生效权，后续canonicalize后的特定主机配置反而覆盖不了，直接导致MAC协商失败。

问题根源拆解 #

结合你贴的debug日志和OpenSSH的规则，核心问题出在参数的生效优先级上：

• 当你输入ssh oldserver时，SSH先读配置，此时主机名还没被规范化，所以直接匹配到Host *块，把MACs设成了现代加密算法；
• 之后触发主机名规范化，oldserver被转换成oldserver.intranet.initech.com，SSH会重新读配置匹配这个FQDN；
• 但OpenSSH的硬规则是「每个参数取第一个获取到的值」，前面Host *设置的MACs已经生效了，后续特定主机块的MACs配置根本没机会覆盖它，这就出现了MAC不匹配的错误。

可行的解决方案 #

这里有两个靠谱的 workaround，你可以根据习惯选：

方案1：用Match canonical调整配置生效时机

利用OpenSSH的Match指令结合canonical条件，让默认MAC配置只在规范化完成后才应用，确保特定主机的配置能优先生效。修改你的~/.ssh/config如下：

CanonicalizeHostname yes
CanonicalDomains intranet.initech.com

# 老服务器的特定配置，优先匹配
Host oldserver.intranet.initech.com
MACs hmac-sha2-512,hmac-sha2-256,hmac-sha1

# 仅当主机名已被规范化时，应用默认现代MAC配置
Match canonical host *
MACs hmac-sha2-512,hmac-sha2-256

这个配置的逻辑是：

• 第一次读配置（短域名阶段），Match canonical host *不会触发，MACs参数暂时留白；
• 规范化完成后重读配置：先匹配老服务器的FQDN块，设置正确的MACs；接着触发Match canonical块，但MACs已经有了第一个有效值，这里的配置不会覆盖它；
• 其他服务器（比如newserver）规范化后，会先匹配不到特定主机块，再触发Match canonical块应用现代MAC，完全符合你的需求。

方案2：给老服务器同时配置短域名和FQDN

如果你不想用Match指令，也可以直接给老服务器的Host块同时加上短域名和FQDN，确保输入短域名时就能优先匹配到特定配置：

CanonicalizeHostname yes
CanonicalDomains intranet.initech.com

# 同时匹配短域名和FQDN，确保输入oldserver时优先生效
Host oldserver oldserver.intranet.initech.com
MACs hmac-sha2-512,hmac-sha2-256,hmac-sha1

Host *
MACs hmac-sha2-512,hmac-sha2-256

这样输入ssh oldserver时，第一次读配置就会匹配到Host oldserver块，设置正确的MACs，后续规范化后也不会被Host *覆盖，同样能解决问题。

备注：内容来源于stack exchange，提问作者Tom Anderson