тунеллирование mysql

iptables -A PREROUTING -i eth0 -p tcp -m tcp --dport 3306 -j DNAT --to-destination 127.0.0.1

Это откроет доступ для всех, что наверняка не надо ТСу. Надо

ssh -L 127.0.0.1:3306:127.0.0.1:3306 server

Запускаю на том где сайт:
ssh -L 3307:localhost:3306 -i /home/Вася/.ssh/Вася.key Вася@sql_ip_addr

Это откроет доступ для всех, что наверняка не надо ТСу

Да, но я скорее просто как пример написал. Коенчно можно и порт поменять, и по src ip фильтровать.

ssh -L 127.0.0.1:3306:127.0.0.1:3306 server

Можно ещё stunnel попробовать. Через ssh имхо как-то велосипедно получается.

спасибо) можно без ключа же?

socat