клиенты шеф-повара за брандмауэром

Я сейчас изучаю шеф-повар. Что я понял до сих пор:

• Мне нужно установить chef-сервер на собственный сервер или использовать хостинг-сервер.
• Мне нужно установить chef-client на серверах, которыми я хочу управлять, иначе говоря, узлами (вручную или с помощью ножевого загрузчика).
• Я установил несколько инструментов для шеф-повара на свой компьютер, которые я могу использовать для управления узлами, например нож.

В моем случае особенность в том, что узлы находятся за брандмауэром/ балансировщик нагрузки / прокси. Узлы могут получать доступ к серверам снаружи через NAT (http работает, и я могу настроить для работы хосты, зависящие от повара). Однако с ними можно связаться только извне через туннель ssh.

Документации о шеф-поваре действительно много, но я не нашел ответа на эти вопросы:

1. Достаточно ли при использовании ножа, когда я вручную настраиваю ssh-туннель на моем собственном ПК, или серверу Chef необходимо связываться с узлами?
2. Могу ли я настроить автоматическую настройку туннеля ssh при использовании ножа?
3. При использовании веб-интерфейса сервера шеф-повара я могу настроить его для подключения к узлам через туннель ssh или мне нужна настройка, в которой я сам настраиваю туннель, например используя monit? Возможно ли это даже с приглашенным шеф-поваром?
4. Вместо использования ножа или веб-интерфейса: Могу ли я использовать те же команды управления непосредственно на узлах с помощью chef-client?
5. Какое решение вы бы порекомендовали?

Большое спасибо за то, что нашли время, чтобы помочь, и ответили на один или несколько из этих связанных вопросов.