Ah, intéressant !
Mais je trouve ce système beaucoup trop rigide et très difficile à mettre en place si t'es pas hyper mature sur ton infra et tes process.
Une solution alternative et plus souple est de ne rendre SSH accessible qu'à partir d'un serveur de rebond déterminé, hyper sécurisé et monitoré, avec comptes personnels, certificats, etc. et allumé uniquement durant les heures d'exploitation si vous n'êtes pas en service 24/7.
Le SSH de vos serveurs n'est ainsi pas attaquable depuis l'Internet, et si jamais il y a le moindre soucis, la moindre suspicion, une faille 0day, vous éteignez le serveur de rebond, ce qui suffit à protéger votre prod d'un coup.
Pour fournir ce type de service (rebond) vous pouvez vous baser sur des systèmes qui ont été soumises aux pires analyses, aux attaques les plus importantes sans un seul problème, en retirant tous les paquets inutiles (le mieux étant de ne pas les installer dès le départ hein), comme Tails, OpenBSD ou Slackware.