Em vez de encaminhar portas, você pode considerar usar VPN para se conectar à sua Rede.
(Veja FAQ da TP-Link ).
Uma vez conectado, você pode se conectar ao seu IP interno:
ssh user@internalIP
Desde que o firmware do roteador esteja atualizado e você escolha uma senha strong, isso é consideravelmente mais seguro. Os atacantes atacarão o roteador em vez do seu computador.