禁用SSH的X11与TCP转发关键在服务端：须在/etc/ssh/sshd_config中显式配置X11Forwarding no、AllowTcpForwarding no、GatewayPorts no、PermitTunnel no，重启sshd后用sshd -T验证全为no，并配合客户端清理DISPLAY变量及禁用ForwardX11。
禁用 SSH 的 X11 转发与 TCP 转发，关键在服务端配置，必须显式关闭、重启生效、实测验证。客户端设置只是辅助，不能替代服务端策略。
服务端统一关闭转发功能
编辑 /etc/ssh/sshd_config，确保以下四行明确存在、未被注释、值为 no：
- X11Forwarding no —— 阻断图形界面转发通道
- AllowTcpForwarding no —— 禁用本地（-L）、远程（-R）和动态（-D）三类端口转发
- GatewayPorts no —— 防止远程端口转发绑定到非 127.0.0.1 地址（如 0.0.0.0）
- PermitTunnel no —— 关闭 SSH 内置的 tun/tap 隧道功能
注意：写成 #X11Forwarding no 或 X11Forwarding false 均无效；OpenSSH 只识别未注释的 X11Forwarding no 这类标准语法。
重启并验证配置是否生效
保存后执行：
- sudo systemctl restart sshd（Debian/Ubuntu）或 sudo systemctl restart ssh（RHEL/CentOS）
- 运行 sudo sshd -T | grep -E "x11forwarding|allowtcpforwarding|gatewayports|permitunnel"
每项输出应为 no，不是 yes、空值或报错。若某项缺失，说明该配置未被加载，需检查拼写、缩进或文件权限（sshd_config 必须可被 root 读取）。
客户端配合清理与屏蔽
即使服务端已关，客户端残留配置仍可能触发异常行为或审计告警：
- 普通用户登录后执行：unset DISPLAY XAUTHORITY XDG_SESSION_TYPE，并写入 ~/.bashrc 持久化
- 编辑 ~/.ssh/config，在 Host 块或全局段添加：
ForwardX11 no
ForwardX11Trusted no
ForwardAgent no（可选，增强代理安全） - 图形终端工具（如 Xshell、MobaXterm）中，连接设置里取消勾选「启用 X11 转发」和「信任 X11 转发」
实测确认防护有效
用普通账户做两轮测试：
-
ssh -X user@host → 应无 X11 相关提示，且
echo $DISPLAY为空 - ssh -L 8080:localhost:80 user@host → 登录后立即报错：channel_setup_fwd_listener_tcpip: cannot listen to port: 8080 或 administratively prohibited
任一测试成功说明对应转发通道仍开放，需回查配置位置与重启状态。
