Túneles SSH: llegar a un servicio que no está expuesto

Local: abrir en tu equipo el puerto 8080 de un servidor remoto (por ejemplo, un panel que solo escucha en localhost):

ssh -L 8080:localhost:8080 usuario@servidor
# y abres http://localhost:8080

Saltar a un equipo de la red del servidor:

ssh -L 3389:192.168.1.20:3389 usuario@servidor      # escritorio remoto a través del servidor

Proxy SOCKS para navegar como si estuvieras en esa red:

ssh -D 1080 usuario@servidor

-N si no quieres abrir terminal, solo el túnel.