Имеешь один нормальный SSH-шелл с прямым коннектом и запускаешь на нём неткат на прослушку. На втором шелле, что за файрволом, запускаешь неткат бэкконектом с указанием IP и порта. В итоге имеешь шелл на целевом сервере.