Você tem um aplicativo de 3 camadas (web→API→banco de dados) em uma VPC onde as camadas escalam independentemente. O tráfego deve fluir web→API→DB e a camada web não deve acessar o DB diretamente. Como você deve configurar a rede?

A melhor prática é rotular cada camada (web, API, banco de dados) com tags de rede e, em seguida, criar regras de firewall no Google Cloud. Essas regras podem ser configuradas para permitir o tráfego apenas entre as camadas desejadas (web para API, API para banco de dados) e bloquear o tráfego direto da camada web para o banco de dados. Colocar cada camada em uma sub-rede diferente isola o tráfego em um nível de rede, mas não impede o acesso direto se as regras de firewall não forem configuradas corretamente. Firewalls de software baseados em host adicionam complexidade de gerenciamento e podem ser inconsistentes. Rotas são para direcionar o tráfego entre redes, não para controlar o acesso entre instâncias dentro da mesma VPC.