Bastion Host
Gehärteter Server, der der einzige Weg in eine interne Umgebung ist — man verbindet sich per SSH zuerst dorthin, dann weiter.
Einziger Server mit öffentlicher IP, alle anderen hinter einer Firewall. Reduziert die Angriffsfläche drastisch. Modernere Alternativen: AWS Session Manager, Tailscale, Teleport — dadurch entfällt das Öffnen von SSH-Ports ganz.