不要なポートはなるべく外に晒したくないので、VPSで構成したホストのうち、１つのみを外向けsshdとして、あとのホストは、外向けホスト経由でssh proxy ログインすることにした。configは次のようになる。

#外部ログイン可能ホスト
Host outerhost
Hostname グローバルIPを書く
User なんたら
Port 番号
IdentityFile ~/.ssh/秘密鍵

#proxyでログインしたいLAN内ホスト

Host innerhost
Hostname 10.0.0.zz　LANのIP
User なんたら
Port 番号
IdentityFile ~/.ssh/秘密鍵
ProxyCommand ssh -CW %h:%p outerhost

対象ホストの.sshには公開鍵を置いておくのを忘れないこと