Sie haben eine 3-Tier-Web→API→Datenbankanwendung in einer VPC, bei der die Tiers unabhängig voneinander skaliert werden. Der Traffic muss Web→API→DB fließen, und Web darf die DB nicht direkt erreichen. Wie sollten Sie die Netzwerkverbindung konfigurieren?

Die korrekte Methode ist, jede Schicht (Web, API, Datenbank) mit einem eindeutigen Netzwerk-Tag zu versehen und dann Google Cloud Firewall-Regeln zu erstellen. Diese Regeln können den Traffic basierend auf Quell- und Ziel-Tags steuern. So können Sie beispielsweise eine Regel erstellen, die Traffic von VMs mit dem "web"-Tag zu VMs mit dem "api"-Tag erlaubt, aber den direkten Traffic von "web" zu "db" blockiert. Das Platzieren jeder Schicht in ein anderes Subnetz bietet zwar eine logische Trennung, kontrolliert aber nicht den Traffic-Fluss zwischen den Schichten auf der erforderlichen Granularitätsebene, da Subnetze standardmäßig innerhalb einer VPC miteinander kommunizieren können. Hostbasierte Software-Firewalls sind wartungsintensiv und nicht so zentral verwaltbar wie VPC-Firewall-Regeln. Das Erstellen von Routen ist für die Steuerung des Traffic-Flusses zwischen Schichten in diesem Szenario nicht die primäre Methode; Routen definieren den Pfad, während Firewall-Regeln den Zugriff kontrollieren.