[sobrus]

Czyli masz bazy nasłuchujące tylko na 127.0.0.1
I chcesz się połączyć z zewnątrz. To troche sobie zaprzecza, ale nie znam się na tunelowaniu przez SSH. Być może to da się zrobić.

Ja to bym próbował zrobić przez VPN, a konkretnie przez OpenVPN, bo jest proste w obsłudze.

Klient z Windows dostaje drugą wirtualną kartę sieciową, łączącą się bezpośrednio do serwera (połączenie jest szyfrowane i kompresowane w locie). Baza danych z kolei będzie musiała nasłuchiwać na 127.0.0.1 oraz na niewielkiej stałej puli adresów które przydzielisz dla klientów VPN.

Możesz wygenerować sobie certyfikaty dla klientów, tak że nie będzie nawet potrzeby wklepywania hasła, połączenie będzie automatyczne przy starcie systemu. User nic nie robi.
Wszystko możesz ustawić i przetestować u najpierw u siebie i na serwerze, a potem szybko u klientów zainstalować VPN, skopiować conf i certyfikat.

Ewentualnie próbować wtedy uruchomić jakoś SSH przez VPN, żeby było jako 127.0.0.1. Masz bezpośrednie połączenie z serwerem na wirtualnej karcie sieciowej - więc można kombinować.
W każdym razie GIODO nie powinno się czepiać, bo baza nie będzie wystawiona na zewnątrz, połącznie szyfrowane i dostępne tylko dla wybrańców posiadających certyfikat.