Detta är ett sätt.
Installera dropbear ssh på boxen. Sedan kör du forward bara på ssh porten och den kan du ju sätta till något annat än 22. Sedan när man ansluter med t.ex. putty så talar man om för putty att samtidigt forwarda portar. Säg att du har forwardat port 80 via putty så kan du nu surfa till http://localhost så kommer du till boxen utan att det går att surfa direkt till boxen för den porten är ju stängt och finns bara tillgänglig via ssh forwarden.
Kanske inte det du är ute efter dock.