Как включить переадресацию портов, но только для некоторых IP и заблокировать другие?

Хьюго.

Вы можете создать правило для входящего трафика в своей группе безопасности vpc, чтобы разрешить удаленные подключения к порту 3306, который используется из mysql. Таким образом, ваши пользователи смогут получить доступ к mysql через mysql-client, установленный на их компьютерах, без необходимости подключаться через ssh.