En general, esto se hace con algún tipo de host de bastión que tiene acceso a ambas redes (internet e intranet). De la forma más sencilla, permite que SSH acceda al host bastion (solo para usuarios autenticados, por supuesto) y luego las personas hacen un túnel a través del bastion para llegar a los hosts internos. Sin embargo, eso requiere configurar túneles SSH, lo que no siempre es conveniente o fácil de usar. Una alternativa es tener una aplicación web de inicio de sesión en el bastión (o incluso simplemente usar algo como la autenticación mutua TLS con certificados de cliente), y una vez que el usuario se autentica, el bastión actúa como un proxy invisible o inverso, tomando las solicitudes destinadas a la parte posterior. finalice los hosts y obtenga sus respuestas, luego devuelva esas respuestas a los usuarios (autenticados) a través de una conexión segura (probablemente solo HTTPS, a menos que esté usando un protocolo no HTTP, en cuyo caso tendrá que ser más elegante).
También puede usar un servidor VPN para establecer un puente en la intranet. Los usuarios se autentican en la VPN, después de lo cual es básicamente como si estuvieran en la misma red local en la que está el servidor VPN (es decir, el mismo que sus servicios internos) hasta que el túnel VPN se cierre o se rompa. Hay una serie de tecnologías VPN y no todas son igual de seguras (todo lo que usa MS-CHAPv2, por ejemplo, es bastante fácil de romper), pero la mayoría de los sistemas operativos admiten una serie de tecnologías VPN listas para usar, y también hay una tercera - software de partes como OpenVPN (F / LOSS) o varias opciones comerciales.
El bastidor / servidor VPN del bastión, al ser un puente entre redes sensibles y no confiables, debería, por supuesto, ser lo más sólido posible. No ejecute más servicios en él de los necesarios (un buen consejo para cualquier servidor, en realidad), mantenga la lógica del programa ejecutándose en un nivel mínimo (para minimizar la superficie de ataque; no es necesario hacerlo por fantasía), y así sucesivamente. Manténgalo actualizado, mantenga registros de auditoría y todas esas cosas buenas.