Barrapunto

Bueno, partiendo de que no tengo mucha idea y por tanto no debes fiarte mucho de lo que digo, me pregunto :

si los clientes llegan al servidor SSH ( Linux )
de tu intranet desde internet,

¿ por qué no abres el puerto de tu aplicacion en el router para que tambien sea accesible desde internet y colocas tu servidor Windows en una DMZ ?
Como no son muchos clientes, puedes crear ACL en el router especifico para los clientes origen y que no sea visible por todo el mundo

O podias redirigir las peticiones primero a tu servidor Linux que hiciese de firewall con iptables

Incluso puedes usar un puerto externo distinto al real de escucha de tu aplicacion en Windows y usar iptables ( o el router ) para hacer NAT Port Mapping

Si el problema es tu deseo es tener un tunel seguro ( es decir, la conexion vaya cifrada ) , entonces el tema es otro.
Quiza tengas que desarrollar tu aplicacion para usar encriptacion en la conexión (SSL/TLS )
O usar una VPN ( requiere tener un servidor VPN, que los hay libres )

Quizás debi agregar que no tengo mucha experiencia con VPN, agradezco cualquier sugerencia.