PermitOpen comprueba el nombre de destino que envía el cliente SOCKS

Una cuenta de reenvío SSH existente puede restringir los pares de destino que usan sus clientes SOCKS. Un fragmento del lado del servidor puede permitir un servicio con nombre:

Match User proxyuser
    PermitOpen api.example.net:443

Integre esto con la política de autenticación y reenvío existente de la cuenta. PermitOpen no concede por sí mismo permiso de reenvío ni desactiva el acceso a la shell.

OpenSSH compara los nombres de destino enviados sin realizar búsquedas de direcciones para esa comparación. Salvo por sus formas comodín documentadas, el valor no es un patrón general de nombre de host.

Esto importa para SOCKS5. Un cliente que envía api.example.net con el puerto 443 puede coincidir con ese par. Un cliente que resuelve el mismo nombre localmente y envía una IP numérica ha enviado una cadena de destino distinta. Un alias que resuelve a la misma dirección también es distinto.

Mantenga el modo de resolución local o mediante proxy del cliente coherente con la regla prevista. La resolución posterior del nombre de host permitido sigue determinando dónde se conecta el servidor; este ajuste no es una prohibición consciente de DNS para cada dirección privada.

Revise junto a ello las restricciones específicas de cada clave y otros ajustes del servidor aplicables, porque cualquier prohibición adicional de reenvío aún puede rechazar la solicitud.