Bonjour et bonne année,
 
Je cherche le moyen de limiter un compte utilisateur à faire du tunnel ssh
seulement vers une ou plusieurs adresse IP autorisée.
 
Merci.

Tu peux donner plus d'info sur ta topo réseau, sur le contexte sur les OS en questions, etc... ?

Bonjour o'gure,
Je me répond.
Dans sshd_config
AuthorizedKeysFile .ssh/authorized_keys
Oui parceque je n'utiliser pas de mot de passe
Dans vos fichiers authorized_keys de l'utilisateur
permitopen="IP:PORT" ssh-rsa la_cle_publique_du_user== commentaire
 
Comme cela il ne pourra pas aller n'importe où.
Apparament, on peut mettre un joker pour le port.
permitopen="IP:*"

J'ai un doute...
sshd_config est utilisé pour les connexion entrantes, tout comme authorized_keys.
Si j'ai compris ta question, c'est pour des connexions sortantes.
 
D'où ma question sur le context, l'archi, etc...

Config:
-Un réseau local derrière un pare-feu
-serveur SSH pour du TCP forwarding (tunnel ssh)
-Admin  
-Utilisateurs
-Accès externe du réseau local
 
Admin doit pouvoir accéder à tous les services, l'utilisateur seulement sur l'IP autorisé.
 
D'où permitopen="IP:*"
Testé et ça fonctionne (seulement pour un IP autorisé)
 
Je voudrai maintenant pourvoir lui autorisé plus d'un IP

Bon pour de multi IP, il suffit de reproduire
permitopen="IP:*" (source: http://man.he.net/man5/authorized_keys)
 
Ex:
permitopen="IP1:PORT",permitopen="IP2:*" ssh-rsa la_cle_publique_du_user== commentaire

Mais c'est pour des connexions sur ton serveur SSH ou depuis ton serveur SSH ?

NON !!!, depuis un poste externe, atteindre un poste dans le réseau à travers une connexion SSH
 
 
PCexterne----Parefeu--SSH--PC1
                                   |
                                    ----PC2
                                   |
                                    ----PCx
 
Multi-IP fonctionne très bien.

Pas la peine de gueuler et d'écrire en majuscule avec tes points d'exclamations hein...
Ton premier post est laconique, maintenant si tu ne veux pas que les gens s'intéresse à tes topics, ne poste pas, ça sera plus simple...

J'ai pas voulu être grossier, surtout pas en ce début d'année  
C'est vrai que mon premier post manquait de précision.
@+