Bastionhost
Geharde server die de enige toegangspoort tot een interne omgeving vormt: eerst SSH'en naar de bastion, dan pas verder.
De enige server met een publiek IP-adres; al het andere zit achter een firewall. Dat verkleint het aanvalsoppervlak drastisch. Modernere alternatieven zijn AWS Session Manager, Tailscale en Teleport, waarmee SSH-poorten helemaal niet meer openbaar hoeven te staan.