Usar VPN é mais seguro que abrir uma porta ssh para o mundo. Você pode fornecer aos usuários acesso a todas as máquinas, dentro de sua intranet, abrindo apenas uma porta para acesso VPN de fora. Você não precisa abrir, por exemplo, porta pública ssh em cada servidor. Os servidores estão completamente escondidos para o mundo, exceto um gateway de VPN. Eu acho melhor. E não importa se você quer dar a seus usuários acesso a serviços adicionais, ainda haverá uma porta VPN aberta para o mundo.
Obviamente, você também pode usar o firewall em todos os acessos dentro da sua intranet, se desejar.
Além disso, se você abrir as portas SSH no servidor para o mundo externo, certamente precisará de alguma segurança extra, como batida de porta e fail2ban para parar a loucura nessa porta.
Assim, a VPN é apenas uma maneira melhor e mais flexível de acessar serviços locais para "guerreiros da estrada". Eu considero como boa prática usar, quase um padrão.