Como manter o túnel SSH invertido vivo e seguro

Question

Eu preciso do SSH para um computador que está por trás de um NAT. Para esse fim, um túnel SSH reverso desse computador (com o servidor SSH instalado) é estabelecido para o meu servidor publicamente visível ( middleman.example.org ):
ssh -f -N -T -R 9999:localhost:22 -p 7777 [email protected]
Agora, para que eu possa chegar a esse computador em qualquer lugar que eu faça:
ssh -J [email protected]:7777 -p 9999 user_behind_NAT@localhost

1. Eu preciso manter esse túnel vivo por dias ou até semanas. Eu ouvi sobre duas maneiras de conseguir isso: (a) passando -o TCPKeepAlive=yes juntamente com opções acima mencionadas
   (b) use autossh em vez de ssh

Qual é a diferença entre essas duas opções? Qual é melhor para qual situação? Faz sentido usar os dois?

2. Como administrador de sysadmin de middleman.example.org , não quero confiar nesse usuário por trás de um NAT e gostaria de limitar a conta mm o mais difícil possível. No melhor dos casos eu gostaria de desativar tanto o shell interativo quanto o sftp, permitindo apenas estabelecer conexões SSH reversas (eu mesmo usarei minha conta regular para "pular" para o túnel reverso). Isso é possível de alguma forma?