Túnel SSH Reenvío de puertos
Envía tráfico TCP arbitrario a través de una conexión SSH — esquiva cortafuegos, alcanza servicios internos.
ssh -L 3306:db:3306 bastion: el puerto local 3306 llega a la base de datos a través del bastión. -R abre un túnel inverso; -D monta un proxy SOCKS. La forma clásica de llegar a servicios "no públicos" sin exponerlos. Alternativas modernas: Tailscale, Cloudflare Tunnels.