Lokale Server über ein bestehendes Cloud VPN benötigen Zugriff auf Cloud Functions APIs, während bestimmte Daten auf ihr Projekt beschränkt bleiben, Internet-Egress für RFC1918-Hosts vermieden wird, lokales DNS verwendet wird und nur APIs verfügbar gemacht werden, die mit VPC Service Controls kompatibel sind. Welches DNS-/Endpunkt-Setup erfüllt diese Anforderungen?

Die korrekte Option erfüllt alle Anforderungen. Die Verwendung von restricted.googleapis.com (199.36.153.4/30) stellt sicher, dass nur VPC Service Controls-kompatible APIs verfügbar sind und Daten auf das Projekt beschränkt bleiben. Das Erstellen eines A-Records und CNAME-Records für .googleapis.com leitet den gesamten API-Verkehr über diesen Endpunkt. Die Konfiguration lokaler Router für den Cloud VPN-Tunnel als nächsten Hop für diese Adressen vermeidet Internet-Egress für RFC1918-Hosts und nutzt das lokale DNS. Die Firewall-Regel erlaubt den notwendigen Traffic. Die anderen Optionen sind falsch, weil: Die Verwendung von private.googleapis.com (199.36.153.8/30) keine VPC Service Controls-Einschränkungen bietet. Das Entfernen des Standard-Internet-Gateways würde den Zugriff auf andere notwendige Internetressourcen beeinträchtigen, die nicht über den VPN-Tunnel geleitet werden sollen.