VPC única com Cloud Interconnect; você deve permitir que hosts on-prem acessem apenas APIs/serviços do Google compatíveis com o VPC Service Controls via conectividade híbrida com um SLA. O que você deve fazer?

A opção correta é ativar o Private Google Access para hosts on-prem e usar IPs virtuais restricted.googleapis.com. Isso permite que os hosts on-prem acessem as APIs e serviços do Google compatíveis com o VPC Service Controls de forma privada e segura, sem trafegar pela internet pública, utilizando a conectividade híbrida (Cloud Interconnect) com SLA. O domínio restricted.googleapis.com garante que apenas serviços compatíveis com o VPC Service Controls sejam acessíveis. Anunciar IPs virtuais públicos das APIs do Google via Cloud Routers não é ideal, pois exporia o tráfego à internet pública e não garantiria a segurança e o controle do VPC Service Controls. Anunciar uma rota padrão e usar Cloud NAT não é o mecanismo correto para acesso privado a APIs do Google e não oferece o isolamento do VPC Service Controls. O Direct Peering, embora forneça conectividade de baixa latência, não integra-se nativamente com o Private Google Access para on-prem nem com o VPC Service Controls para garantir o acesso restrito e seguro.