Host bastión Jump host
Servidor endurecido que es la única vía de entrada a un entorno interno — primero haces SSH allí, luego sigues adelante.
El único servidor con IP pública, todo lo demás tras un cortafuegos. Reduce drásticamente la superficie de ataque. Alternativas más modernas: AWS Session Manager, Tailscale, Teleport — sin necesidad de exponer puertos SSH en absoluto.