Also ich benutze für genau dieses Szenario gerne Netbird (selbst gehostet), aber man kann auch Tailscale sehr gut dafür benutzen.
Der Ansatz, SSH komplett aus dem öffentlichen Internet auszusperren, ist meiner Meinung nach die eleganteste Lösung. Statt Firewalls mit IP-Bereichen von Providern zu pflegen, gehe ich einen Schritt weiter:
SSH lauscht nur noch auf der internen IP des Mesh-VPNs (Netbird/Tailscale), nicht mehr auf der öffentlichen IP.
Dank Wireguard und NAT-Traversal bleibt der SSH-Port nach außen komplett geschlossen.
Im Log ist danach absolute Ruhe, weil Angreifer den Port ohne aktives VPN überhaupt nicht mehr erreichen können.