Você criou a VPC 'Dev' com uma sub-rede e uma regra de firewall permitindo apenas HTTP com registro ativado. O RDP para uma instância falha e nenhuma entrada de firewall negada aparece no Cloud Logging. Você quer ver os logs para o tráfego bloqueado. O que você deve fazer?

A resposta correta é criar uma regra de firewall deny-all com prioridade 65500 e habilitar o registro. As regras de firewall do Google Cloud são avaliadas em ordem de prioridade (números menores têm prioridade maior). Uma regra de negação explícita com uma prioridade baixa (65500 é a mais baixa possível) garante que ela seja avaliada por último, após todas as regras de permissão e negação explícitas de maior prioridade. Ao habilitar o registro nesta regra, qualquer tráfego que não tenha sido permitido por outras regras e, portanto, seja bloqueado por esta regra deny-all, será registrado no Cloud Logging. Verificar os logs de fluxo da VPC não mostrará o tráfego bloqueado por regras de firewall, apenas o tráfego que passa pela interface de rede. Tentar conectar via SSH e verificar os logs da instância não revelará por que o RDP foi bloqueado externamente. Criar uma regra de firewall permitindo TCP/22 (SSH) não ajudará a diagnosticar o problema de RDP (TCP/3389) nem a registrar o tráfego bloqueado.