Túnel SSH
Envia tráfego TCP arbitrário através de uma conexão SSH — contorna firewalls, alcança serviços internos.
ssh -L 3306:db:3306 bastion: porta local 3306 → banco de dados via bastion. -R = túnel reverso. -D = proxy SOCKS. A forma clássica de alcançar serviços "não públicos" com segurança. Alternativas modernas: Tailscale, Cloudflare Tunnels.