Переадресация портов для TightVNC только с портом ssh?

Я хочу быть в состоянии подключиться к моей винда с VNC. Я установил TightVNC и freesshd. Я создал TightVNC, чтобы служить на 5899, и freesshd, чтобы служить на 2223. (TightVNC советы по переадресации портов.)

Если я портирую вперед 5899 и 2223 на моем маршрутизаторе, я могу подключить как напрямую (на 5899), так и через перенаправление портов ssh:

ssh -p 2223 -L 5699:<myip>:5899 myaccount@<myip>

и подключение к localhost:5699. Пока все хорошо.

однако, если закрыть порт 5899 на маршрутизаторе, не могу подключиться даже через SSH проброс портов. Я получаю это сообщение на консоли windows, что у меня есть ssh-ed:

channel 3: open failed: connect failed: Connect failed

просмотр журналов показывает много вещей, которые я не понимаю. "ssh-v" показывает, что это пытается перенести вперед локальный 5699 к удаленному 5899, который корректен.

Я хотел бы закрыть 5899, если смогу, потому что это открытый порт VNC без имени учетной записи, у него просто есть пароль VNC (с длиной, ограниченной 8 символами!). Кажется небезопасный.

Как закрыть 5899 и по-прежнему иметь возможность подключения через туннелирование ssh?

Примечание: я читал почему я не могу подключиться к VNC-сервер из внешней сети? и не видел, как применить совет там.