I controlli di inoltro sono impostazioni di configurazione SSH che decidono se una sessione può creare tunnel o inoltrare traffico a un altro host. Regolano funzionalità come il port forwarding locale, il port forwarding remoto, il forwarding SOCKS dinamico e talvolta il forwarding dell'agent o di X11. In pratica, queste opzioni determinano se SSH è solo una shell remota oppure anche un trasporto per altre connessioni.
Sono importanti perché l'inoltro trasforma una sessione SSH attendibile in un gateway. Gli aggressori abusano dell'inoltro consentito per spingersi più a fondo in una rete, raggiungere servizi interni o nascondere il traffico di comando e controllo all'interno di un tunnel crittografato. I difensori limitano l'inoltro sugli host di salto e sui server per contenere i movimenti laterali e l'esfiltrazione dei dati. I controlli comuni includono la disattivazione dell'inoltro per impostazione predefinita, la sua autorizzazione solo per utenti o host specifici e l'auditing quando vengono creati i tunnel.