协作场景
碰撞点三类：路径（能否直连 22）、工具链（是否先统一容器再碰 Apple Silicon）、公平性（GUI/签名队列谁优先）。Codespaces 缓解前两项；出口与密钥就绪后直连最短。
痛点：① 出口/MDM 挡直连；② 多跳 bufferbloat；③ 未声明长任务抢座致同伴假死。双人验收清单（写入 Runbook）：
- 身份： 两账户或书面 tmux 例外；禁密码；离职轮换密钥。
- 路径： 测 本机→Mac 与经 Codespace 的 RTT，定默认链路。
- 端口： LocalForward 清单与属主，演示前冲突演练。
- 恢复： tmux 名、ControlMaster 路径；每周两分钟重连演练。
- 抢占： 归档/公证/UI 测写入队列或日历，禁静默开跑。
方案对比表（含阈值）
下表为护栏；VPN/跳板/地域会微调。左列偏 Codespaces，右列偏直连。
| 信号 / 阈值 | 倾向 Codespaces SSH 路径 | 倾向直连 SSH 到 Mac |
|---|---|---|
| RTT | 本机→Mac >120ms 且经 Codespace 总路径较 ISP 短 ≥25% | 本机→Mac ≤80ms 稳定；再加云跳放大方差 |
| 并发构建 | 池内已限 1～2 路打满核；Codespace 只做入口 | ≥3 路重叠编译→加节点或 Runner 标签，非加隧道 |
| 端口转发 | 稳定 LocalForward ≤3；临时预览用 Codespaces 端口 UI | >5 条或依赖动态转发→直连加反代，见 TLS 入口矩阵 |
| 断线恢复 | 可接受 Codespace 15～30 分钟 空闲；构建进 tmux/CI | 期望 <5 分钟 恢复；ControlPersist + 持久 Shell |
落地五步：
ping/ssh -vvv记两路径 RTT 与失败模式。- 直连
Host通后再并gh codespace ssh --config的cs-*做 ProxyJump。 - 端口清单入仓；共享机
lsof抽检。 - 长任务固定 tmux 前缀与恢复命令。
- 套餐页 对峰值并发选规格。
可引用：交互 RTT 目标 <100ms；负载持续 ≈1.5× 核数 以上暂停次要编译；转发 >5 用反代。替换主机名/用户/密钥后用 ssh -G meshmac-direct 自检。
# 直连节点（最短路径）
Host meshmac-direct
HostName mac-builder.your-team.example
User alice
IdentityFile ~/.ssh/meshmac_ed25519
IdentitiesOnly yes
ServerAliveInterval 30
ServerAliveCountMax 4
ControlMaster auto
ControlPath ~/.ssh/cm-%r@%h:%p
ControlPersist 10m
# LocalForward 19000 127.0.0.1:9000
# 经 Codespace 跳转（先执行 gh codespace ssh --config，合并生成的 Host cs-*）
Host meshmac-via-codespace
HostName 10.50.12.8
User shared-builder
IdentityFile ~/.ssh/meshmac_pool_key
IdentitiesOnly yes
ProxyJump cs-yourcodespace
RemoteForward 127.0.0.1:18080 127.0.0.1:8080
注意：多跳或致 MTU/缓冲问题，stall 时减并行或单跳；Codespace 盘临时，勿长期密钥入 dotfiles；
RemoteForward 对齐 sshd_config；合规禁 GitHub 触达内网则改 VPN/Tailscale。
权限与隔离
隧道不替代 Mac 侧租户：一人一账户，CI 与交互分离，共享目录组+setgid 禁 777。GUI 按需 VNC，命令行默认与 SSH/VNC 选型、隔离实战 一致。
冲突与占座策略
FAQ
Q：何时跳板何时直连？
出口封禁或须统一容器且 RTT 可接受→跳板；本机到 Mac 已低延迟、多转发或空闲策略打断长任务→直连。
Q：转发减 Xcode 争用？
否，争用在 Mac，须队列与账户隔离。
Q：几条转发上反代？
约五条以上长期依赖→HTTPS 单入口。
Q：断线阈值？
每小时掉线超一次→tmux、ControlPersist、两分钟恢复脚本。