PermitOpen kontrollerer destinasjonsnavnet som SOCKS-klienten oppgir

En eksisterende SSH-videresendingskonto kan begrense destinasjonsparene som dens SOCKS-klienter bruker. Et fragment på tjenersiden kan tillate én navngitt tjeneste:

Match User proxyuser
    PermitOpen api.example.net:443

Knytt dette til kontoens eksisterende autentiserings- og videresendingspolicy. PermitOpen gir ikke i seg selv tillatelse til videresending og slår ikke av shell-tilgang.

OpenSSH sammenligner destinasjonsnavnene som oppgis, uten å gjøre adresseoppslag for den sammenligningen. Med unntak av de dokumenterte jokertegnformene er verdien ikke et generelt vertsnavnmønster.

Dette er viktig for SOCKS5. En klient som sender api.example.net med port 443, kan matche det paret. En klient som løser opp det samme navnet lokalt og sender en numerisk IP, har oppgitt en annen destinasjonsstreng. Et alias som løser opp til samme adresse, er også forskjellig.

Hold klientens lokale eller proxybaserte oppløsningsmodus i tråd med den tiltenkte regelen. Den påfølgende oppløsningen av det tillatte vertsnavnet avgjør fortsatt hvor tjeneren kobler til; denne innstillingen er ikke et DNS-bevisst forbud mot hver privat adresse.

Se over nøkkelspesifikke begrensninger og andre gjeldende tjenerinnstillinger sammen med dette, fordi ethvert ytterligere videresendingsforbud fortsatt kan avvise forespørselen.