PermitOpen kontrollerer destinationsnavnet, som SOCKS-klienten angiver
Match en begrænset SSH SOCKS-destination ud fra det ønskede værtsnavn og den ønskede port i stedet for at antage, at DNS-aliaser og numeriske adresser er ækvivalente.
En eksisterende SSH-videresendelseskonto kan begrænse de destinationspar, som dens SOCKS-klienter bruger. Et fragment på serversiden kan tillade én navngivet tjeneste:
Match User proxyuser
PermitOpen api.example.net:443Integrér dette med kontoens eksisterende godkendelses- og videresendelsespolitik. PermitOpen giver ikke i sig selv tilladelse til videresendelse og deaktiverer ikke shell-adgang.
OpenSSH sammenligner de angivne destinationsnavne uden at foretage adresseopslag til den sammenligning. Bortset fra de dokumenterede wildcard-former er værdien ikke et generelt værtsnavnmønster.
Det betyder noget for SOCKS5. En klient, der sender api.example.net med port 443, kan matche det par. En klient, der opløser det samme navn lokalt og sender en numerisk IP, har angivet en anden destinationsstreng. Et alias, der opløses til den samme adresse, er også anderledes.
Hold klientens lokale kontra proxy-baserede opløsningstilstand i overensstemmelse med den tilsigtede regel. Den efterfølgende opløsning af det tilladte værtsnavn afgør stadig, hvor serveren opretter forbindelse; denne indstilling er ikke et DNS-bevidst forbud mod enhver privat adresse.
Gennemgå nøglespecifikke begrænsninger og andre relevante serverindstillinger sammen med det, fordi ethvert yderligere videresendelsesforbud stadig kan afvise anmodningen.