Você desejará o ssh do servidor A com o seguinte:
ssh user@serverB -L xxxx:127.0.0.1:yyyy
Contanto que você deixe o túnel aberto, você pode se conectar à porta xxxx no servidor A e sua conexão será encaminhada para a porta yyyy no servidor B.
Quanto a se esta é ou não a melhor opção, isso depende. Melhor opção para administrar / depurar remotamente o banco de dados? Possivelmente. É seguro (desde que o acesso ssh esteja seguro). É o melhor para conexões de longo prazo na produção? Provavelmente não. Eu sugeriria que as ACLs permitissem acesso somente ao banco de dados no servidor B do servidor A.
Consulte a seguinte pergunta do Security StackExchange para obter mais detalhes: