Gemäß den von Google empfohlenen Best Practices müssen Sie zulassen, dass nur VM A Traffic zu VM B innerhalb einer VPC initiieren kann, und alle anderen Flows blockieren. Es existieren keine anderen Firewall-Regeln. Welche Firewall-Regel erzwingt dies?

Die korrekte Regel erlaubt Ingress-Traffic zu VM B (Target) nur von VM A (Source) unter Verwendung ihrer jeweiligen Dienstkonten. Da keine anderen Firewall-Regeln existieren, blockiert die implizite Deny-Regel am Ende der Firewall-Regelliste alle anderen unerwünschten Flows. Die Priorität von 1000 ist Standard und ausreichend, da es keine konkurrierenden Regeln gibt. Die zweite Option ist falsch, da das Hinzufügen der Quell-IP von VM A als Source unnötig ist und die Regel komplexer macht, ohne einen Vorteil zu bieten. Tags sind zwar eine Option, aber Dienstkonten sind oft flexibler und sicherer für die Identifizierung von Quellen und Zielen. Die dritte und vierte Option sind falsch, da sie die Rollen von Quell- und Ziel-VMs vertauschen und somit den Traffic in die falsche Richtung erlauben würden.