单个 VPC 带有 Cloud Interconnect；您必须允许本地主机通过具有 SLA 的混合连接，仅访问 VPC Service Controls 支持的 Google API/服务。您应该怎么做？

正确答案是为本地主机启用 Private Google Access 并使用 restricted.googleapis.com 虚拟 IP。启用 Private Google Access 允许本地主机通过 Cloud Interconnect 私密访问 Google API，而无需通过公共互联网。使用 restricted.googleapis.com 虚拟 IP 确保流量仅流向支持 VPC Service Controls 的服务，从而提供额外的安全边界和 SLA。 让 Cloud Routers 发布 Google API 的公共虚拟 IP 地址不安全，因为它会暴露公共 IP，并且没有 VPC Service Controls 的保护。通过 Cloud Router 发布默认路由并使用 Cloud NAT 会将流量路由到公共互联网，这不符合私密访问和 VPC Service Controls 的要求。添加 Direct Peering 链接并使用它们访问公共虚拟 IP 同样不提供 VPC Service Controls 的安全优势，并且通常用于与 Google 对等，而不是私密访问其服务。