Как построить бастион-хост и превратить его в неприступную крепость

Я еще для интерактивного входа дополнял сессию через rbash в cgroups с ограничением переопределения переменных окружения и пересоздание домашних директорий при выходе и авторизацией через домен FreeIPA, ограничивал возможность построения туннелей для передачи данных, логировал все действия в консоли. Но умные люди просто запрещают все кроме туннелей))