Duas equipes compartilham uma única VPC e precisam de segmentação rigorosa para que a sub-rede de desenvolvimento (dev) 10.4.1.0/24 não possa iniciar conexões com a sub-rede de produção (prod) 10.4.2.0/24, enquanto a prod pode acessar a dev para monitoramento. Qual é o mecanismo recomendado do GCP?

A opção correta é usar regras de firewall da VPC com tags ou contas de serviço. As regras de firewall do GCP permitem controlar o tráfego de entrada e saída de instâncias de VM com base em tags de rede, contas de serviço, intervalos de IP e portas. Você pode criar uma regra de negação de saída (egress) da sub-rede dev para a sub-rede prod e uma regra de permissão de entrada (ingress) da sub-rede prod para a sub-rede dev, aplicando-as às VMs apropriadas usando tags ou contas de serviço. Criar tabelas de rotas separadas por sub-rede e adicionar uma regra de negação não é um mecanismo de segurança granular no GCP para este cenário; tabelas de rotas controlam o encaminhamento de pacotes, não a permissão de tráfego entre sub-redes na mesma VPC. O peering de VPC é usado para conectar VPCs distintas, não para segmentar sub-redes dentro da mesma VPC. Habilitar o acesso privado do Google (Private Google Access) é para permitir que VMs sem IPs externos acessem APIs e serviços do Google, não para isolar sub-redes internas.