Очевидно, что политики просто нет как таковой, равно ка и VPN.
А бороться с таким велосипедом действительно довольно сложно. Ибо ssh может при желании пролезь вообще даже по голому http, как скайп. Надо либо запрещать нахрен метод CONNECT даже на 443 порт и иже с ним (не без ущерба для себя), либо дотошно анализировать весь траф на уровне содержимого пакетов, либо я вообще не знаю как.
«Домашний офис», или когда не нужно ехать на работу