PermitOpen は SOCKS クライアントが送る宛先名を検査する

既存の SSH 転送アカウントでは、その SOCKS クライアントが使う宛先の組を制限できます。サーバー側の断片で、名前付きのサービスを 1 つ許可できます。

Match User proxyuser
    PermitOpen api.example.net:443

これはアカウントの既存の認証と転送ポリシーに組み込みます。PermitOpen 自体は転送の許可を与えるものではなく、shell アクセスを無効にもしません。

OpenSSH は渡された宛先名を、その比較のためにアドレス照会を行わずに比較します。文書化されたワイルドカード形式を除き、この値は一般的なホスト名パターンではありません。

これは SOCKS5 で重要です。api.example.net をポート 443 で送るクライアントはその組に一致できます。同じ名前をローカルで解決して数値 IP を送るクライアントは、別の宛先文字列を渡したことになります。同じアドレスに解決されるエイリアスも別物です。

クライアントの ローカル解決かプロキシ解決かのモード を、意図した規則と一致させてください。許可されたホスト名のその後の解決が、サーバーがどこへ接続するかを依然として決めます。この設定は、あらゆるプライベートアドレスを禁じる DNS 考慮の禁止ではありません。

鍵ごとの制限やその他の該当するサーバー設定も併せて確認してください。追加の転送禁止があれば、要求は依然として拒否され得ます。