禁用openssh端口转发需在服务端配置中设置allowtcpforwarding no、gatewayports no、permittunnel no和x11forwarding no，重启sshd后客户端的-l、-r、-d等命令将被直接拒绝。
要禁用OpenSSH端口转发功能，核心是修改服务端配置，关闭TCP端口转发、远程端口转发（-R）、本地端口转发（-L）和动态转发（-D）的底层支持。只要服务端明确禁止，客户端无论执行什么ssh -R或ssh -L命令，都会被直接拒绝，无法建立隧道。
确认并修改sshd_config关键参数
编辑OpenSSH服务端主配置文件：
sudo vim /etc/ssh/sshd_config
确保以下几行存在且设置为no：
-
AllowTcpForwarding no—— 禁用所有TCP端口转发（含-L、-R、-D） -
GatewayPorts no—— 防止远程转发绑定到非127.0.0.1地址（即使AllowTcpForwarding被绕过也无效） -
PermitTunnel no—— 禁用SSH内置的点对点隧道（如tun设备） -
X11Forwarding no—— 关闭图形转发，避免X11相关侧信道利用
重启服务并验证是否生效
保存配置后必须重启sshd才能生效：
sudo systemctl restart sshd（Ubuntu/Debian/CentOS 7+）
或
sudo service ssh restart（旧版系统）
验证方式：在另一台机器上尝试执行远程转发命令，例如：
ssh -R 8080:localhost:22 user@your-server
如果返回类似Warning: remote port forwarding failed for listen port 8080或连接后无监听，说明已成功禁用。
补充加固建议
仅关端口转发还不够，需配合其他权限控制防止绕过：
- 禁用密码登录：
PasswordAuthentication no，强制使用密钥认证 - 限制可登录用户：
AllowUsers admin@192.168.10.0/24，只允许可信网段的指定用户 - 禁止root直连：
PermitRootLogin no，避免高权限账户成为跳板入口 - 检查防火墙策略：确保SSH端口（默认22）不对外网全开放，仅限运维IP白名单访问
注意客户端配置不影响服务端策略
客户端的ssh_config或命令行参数（如-o PermitLocalCommand=yes）无法开启已被服务端禁用的功能。所有转发能力最终由sshd进程根据sshd_config裁定。因此加固重点永远在服务端，而非管控每台客户端。
