Isso será específico para o software em execução no roteador - e você não nos disse o que é isso. Se tiver um front end HTTP [S], você poderá usar (por exemplo) Perl + http: : recorder para gerar uma interação manual, em seguida, alterar o script para injetar o endereço IP e reproduzi-lo com www :: mechanize.
Mas .... pensando nisso .... por que não apenas deixar o forwarding no lugar e usar um método convencional para restringir o acesso ssh, como batendo na porta ou fail2ban.
Olhando para os comentários, parece ser o último salto, que é o problema - do roteador para o endereço atribuído pelo roteador ao desktop - como afirmam os outros ... é trivial bloquear um endereço MAC para um IP específico em cada roteador SOHO que já encontrei - você só precisa fazer isso uma vez.