Sie haben Private Google Access in Subnetzen aktiviert, aber der Internet-Egress wird On-Premise "hairpinned" und VPC Service Controls werden verwendet. Welche DNS- und Routing-Änderungen ermöglichen es Instanzen, Google APIs zu erreichen, während die On-Premise-Inspektion beibehalten wird?

Die korrekte Antwort ermöglicht den Zugriff auf Google APIs über VPC Service Controls, während der On-Premise-Egress beibehalten wird. Durch die Erstellung einer privaten DNS-Zone mit einem CNAME für .googleapis.com zu restricted.googleapis.com und einem A-Record für den eingeschränkten API-Adressbereich von Google (199.36.153.4/30) wird sichergestellt, dass Anfragen an Google APIs an den Restricted-Endpunkt weitergeleitet werden, der VPC Service Controls unterstützt. Die benutzerdefinierte Route, die diesen Adressbereich auf das Standard-Internet-Gateway verweist, leitet den Traffic über das VPC-Netzwerk zum Internet, was für die On-Premise-Inspektion erforderlich ist, da der Traffic nicht direkt zu Google geht, sondern durch das VPC-Netzwerk und dann zum Internet-Gateway. Die anderen Optionen sind falsch, weil: Die zweite Option ändert die Standardroute, was den gesamten Internet-Egress beeinflussen würde und nicht spezifisch für Google APIs ist. Die dritte und vierte Option verwenden private.googleapis.com, was für Private Google Access ohne VPC Service Controls gedacht ist und nicht den eingeschränkten Endpunkt nutzt.