Se eu entendi sua configuração corretamente, você não precisa dar ao usuário ssh nenhum privilégio especial. No computador cliente (a partir do qual você se conecta usando ssh), basta conectar-se ao host local. É claro que esse computador não pode executar o servidor de arquivos na mesma porta.
Talvez seja necessário usar o mesmo número de porta (ou seja, 3389) em ambas as extremidades do encapsulamento, para que o computador cliente o reconheça.