Todo o tráfego destinado à internet deve retornar ao ambiente on-prem via HA VPN antes da saída, enquanto as VMs devem alcançar as APIs privadas do Google em 199.36.153.4/30. Como você configura as rotas?

Para garantir que todo o tráfego de internet retorne ao ambiente on-prem (hairpinning), o roteador on-prem deve anunciar 0.0.0.0/0 via BGP para a HA VPN. Um MED (Multi-Exit Discriminator) mais alto (como 1000) torna essa rota menos preferível do que a rota padrão de internet do Google Cloud, que tem uma prioridade implícita mais alta para tráfego de saída direto, mas permite que o tráfego de retorno use a VPN. Para as APIs privadas do Google (199.36.153.4/30), que são acessíveis via Private Google Access, uma rota personalizada no Google Cloud com next hop = default internet gateway é a configuração correta. Isso direciona o tráfego para a infraestrutura do Google, onde o Private Google Access o roteia internamente. As outras opções estão incorretas porque ou priorizam incorretamente as rotas, direcionam o tráfego das APIs privadas para a VPN (o que não é necessário nem ideal), ou usam prioridades de rota personalizadas que entrariam em conflito com o comportamento de hairpinning desejado.