Caso se use o ssh somente interno, pode bloquear ele somenta na porta do link. Como falei há pelo menos meia dúzias de formas de bloquear ataques de ssh... Qualquer dúvida, estamos ae...
Correto!
As possibilidades são diversas, e se o acesso é somente local, o melhor é bloquer a porta para o link como vc mesmo disse.