PermitOpen verifica o nome de destino fornecido pelo cliente SOCKS

Uma conta de encaminhamento SSH existente pode restringir os pares de destino usados pelos seus clientes SOCKS. Um fragmento do lado do servidor pode permitir um serviço nomeado:

Match User proxyuser
    PermitOpen api.example.net:443

Integre isto na política de autenticação e encaminhamento já existente da conta. O PermitOpen não concede, por si só, autorização de encaminhamento nem desativa o acesso à shell.

O OpenSSH compara os nomes de destino fornecidos sem efetuar pesquisas de endereços para essa comparação. Exceto nas formas wildcard documentadas, o valor não é um padrão genérico de nome de anfitrião.

Isto importa ao SOCKS5. Um cliente que envia api.example.net com a porta 443 pode corresponder a esse par. Um cliente que resolve o mesmo nome localmente e envia um IP numérico forneceu uma cadeia de destino diferente. Um alias que resolve para o mesmo endereço também é diferente.

Mantenha o modo de resolução local ou através do proxy do cliente coerente com a regra pretendida. A resolução posterior do nome de anfitrião permitido continua a determinar onde o servidor se liga; esta definição não é uma proibição consciente de DNS para todos os endereços privados.

Reveja, a par disso, as restrições específicas de cada chave e outras definições de servidor aplicáveis, porque qualquer proibição adicional de encaminhamento ainda pode rejeitar o pedido.