PermitOpen kontrollerer destinasjonsnavnet SOCKS-klienten oppgir
Match en begrenset SSH SOCKS-destinasjon etter ønsket vertsnavn og port, i stedet for å anta at DNS-aliaser og numeriske adresser er likeverdige.
En eksisterende SSH-videresendingskonto kan begrense destinasjonsparene som SOCKS-klientene bruker. Et fragment på serversiden kan tillate én navngitt tjeneste:
Match User proxyuser
PermitOpen api.example.net:443Integrer dette med kontoens eksisterende autentiserings- og videresendingspolicy. PermitOpen gir ikke selv tillatelse til videresending og deaktiverer ikke shell-tilgang.
OpenSSH sammenligner de oppgitte destinasjonsnavnene uten å gjøre adresseoppslag for den sammenligningen. Bortsett fra de dokumenterte jokertegnformene er verdien ikke et generelt vertsnavnmønster.
Dette betyr noe for SOCKS5. En klient som sender api.example.net med port 443, kan matche det paret. En klient som løser opp det samme navnet lokalt og sender en numerisk IP, har oppgitt en annen destinasjonsstreng. Et alias som løses opp til samme adresse, er også annerledes.
Hold klientens lokale eller proxybaserte oppløsningsmodus i samsvar med den tiltenkte regelen. Den etterfølgende oppløsningen av det tillatte vertsnavnet avgjør fortsatt hvor serveren kobler til; denne innstillingen er ikke et DNS-bevisst forbud mot enhver privat adresse.
Gå gjennom nøkkelspesifikke begrensninger og andre gjeldende serverinnstillinger sammen med dette, fordi ethvert ytterligere videresendingsforbud fortsatt kan avvise forespørselen.