В SSH-клиенте защищенной оболочки OpenSSH есть такая опция:

-L порт:машина:порт_машины
    Определяет заданный порт на локальной (клиентской) машине который
    будет перенаправлен к заданной машине и порт на удаленной машине.
    Это реализовано путём назначения доменного подключения "прослушиваемому"
    порту на стороне локальной машины и всякий раз, когда производится
    соединение на этот порт, оно будет перенаправлено через защищенный
    канал и произведено соединение к порту порт_машины удаленной машины.
    Перенаправление портов моет быть так же указано в файле конфигурации.
    Только суперпользователь может осуществлять перенаправление
    привилегированных портов. Адреса IPv6 могут быть указаны с
    альтернативным синтаксисом: port/host/hostport.

Так вот - как запретить этот порт на локальной (клиентской) машине?