As regras do firewall permitem apenas HTTP, HTTPS e SSH, mas você não vê entradas negadas nos logs do firewall ao testar outras portas. Como você captura logs de firewall negados?

A opção correta é criar uma regra explícita de Negação (Deny Any) e habilitar o registro nela. Por padrão, as regras implícitas de negação do Google Cloud (como a regra deny all egress e deny all ingress) não geram logs. Para capturar o tráfego negado, você precisa criar uma regra de firewall com prioridade mais alta que as regras implícitas, configurá-la para negar o tráfego que você deseja monitorar e, crucialmente, habilitar o registro para essa regra específica. As outras opções estão incorretas porque: Habilitar o registro na Regra de Firewall Padrão de Negação não funcionará, pois as regras implícitas não podem ter o registro habilitado diretamente. Habilitar o registro nas instâncias de VM capturaria logs do sistema operacional, não logs de negação do firewall da GCP. Criar um coletor de logs sem filtros não resolveria o problema, pois os logs de negação não estão sendo gerados em primeiro lugar.