Как правильно организовать безопасность MySQL сервера?

Соединяться через ssh-туннель?

Зачем? Оно же само умеет шифрование подключения.
http://dev.mysql.com/doc/refman/5.7/en/secure-connections.html

Просто запретить соединения со всех ip кроме нужного

Наверное самый простой и довольно безопасный вариант.

Когда создаешь юзера в базе, то указывай ему конкретный IP, а не %. А юзер root только под localhost должен логинится.

лучше через файрвол отбрасывать любое соединение с чужих ипов

Просто запретить соединения со всех ip кроме нужного?

Причём, может быть, не средствами MySQL (хотя и ими тоже, до кучи), а файрволом системным.

Лучше, если файрвол отбрасывает любое соединение с чужих IP и дополнительно в mysql правильно прописаны гранты и взломоустойчивые пароли. На случай, если админ случайно отключит файрвол по ошибке.

Если сервера на одной площадке - сделать между ними VLAN.