يفحص PermitOpen اسم الوجهة الذي يقدّمه عميل SOCKS

يمكن لحساب إعادة توجيه SSH قائم أن يقيّد أزواج الوجهات التي يستخدمها عملاء SOCKS التابعون له. ويمكن لمقطع على جانب الخادم أن يسمح بخدمة واحدة مسمّاة:

Match User proxyuser
    PermitOpen api.example.net:443

ادمج هذا مع سياسة المصادقة وإعادة التوجيه القائمة في الحساب. فـ PermitOpen لا يمنح بنفسه إذن إعادة التوجيه ولا يعطّل الوصول إلى shell.

يقارن OpenSSH أسماء الوجهات المقدَّمة دون إجراء استعلامات عناوين لتلك المقارنة. وباستثناء صيغ wildcard الموثّقة، ليست القيمة نمطًا عامًا لأسماء المضيفين.

هذا مهم بالنسبة إلى SOCKS5. فالعميل الذي يرسل api.example.net مع المنفذ 443 يمكن أن يطابق ذلك الزوج. أما العميل الذي يحلّ الاسم نفسه محليًا ويرسل عنوان IP رقميًا فقد قدّم سلسلة وجهة مختلفة. والاسم المستعار الذي يُحلّ إلى العنوان نفسه مختلف أيضًا.

أبقِ وضع التحليل المحلي مقابل التحليل عبر الوسيط للعميل متسقًا مع القاعدة المقصودة. فتحليل اسم المضيف المسموح به لاحقًا لا يزال يحدّد المكان الذي يتصل به الخادم؛ وهذا الإعداد ليس منعًا واعيًا بـ DNS لكل عنوان خاص.

راجع القيود الخاصة بالمفاتيح وإعدادات الخادم الأخرى المنطبقة إلى جانبه، لأن أي منع إضافي لإعادة التوجيه قد يرفض الطلب كذلك.