SSH-туннель
Пропускает произвольный TCP-трафик через SSH-соединение — в обход файрволов, до внутренних сервисов.
ssh -L 3306:db:3306 bastion: локальный порт 3306 ведёт к базе данных через бастион. -R — обратный туннель, -D — SOCKS-прокси. Классический способ безопасно добраться до «непубличных» сервисов. Современные альтернативы — Tailscale и Cloudflare Tunnels.