Как ограничить ssh на сервере, разрешив только пробрасывать порты?

Т.е. чтобы пользователь вообще никаких команд выполнить не мог. Только порт пробросить и всё. И доступ к файлам (scp,sftp) тоже запретить. 1) Как это сделать для конкретного юзера системы? 2) Как это сделать для демона ssh в принципе? т.е. чтобы полностью обезопасить систему от возможного удаленного выполнения команд через эту сессию.