Buenas tardes Javier,
Yo te recomendaría varias cosas para mejorar la seguridad de tus conexiones remotas:
1. Colocar una access-class con una ACL en las lineas VTY para restringir el acceso por SSH solo a IPs especificas dentro de tu segmento LAN.
2. Cambiar el número de puerto de SSH para dificultar que el atacante te encuentre siempre por el puerto 22. Te sugiero revisar la siguiente guía: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_usr_ssh/configuration/15-s/sec-usr-ssh-15-s-book/sec-ssh-term-line.html
3. Si quieres eliminar de plano el acceso desde afuera entonces puedes colocar un ACL que vea a la interfaz física y que tenga el statement deny, por ejemplo:
access-list 151 deny tcp any any eq 22
y aplicarla de entrada en la interfaz que mira hacia internet, ten presente que si tienes servicios que usen ssh entonces vas a tener que usar una ACL extendida donde puedas colocar como destination únicamente la red de management de tus equipos de red.
***Por favor no olvides calificar y/o marcar como solución las respuestas útiles, tu calificación promueve nuestra participación***
Saludos,
