En un diseño de peering de VPC de tipo hub-and-spoke, un plano de control privado de GKE en un spoke tiene redes autorizadas configuradas para la subred de nodos, pero el plano de control es inalcanzable desde otros spokes. ¿Cómo se permite el acceso desde otros spokes?

La opción correcta es implementar un proxy porque el plano de control privado de GKE, por diseño, solo es accesible desde las redes autorizadas configuradas. En un diseño hub-and-spoke con peering de VPC, los spokes no tienen conectividad directa entre sí a menos que se configure un enrutamiento específico o un proxy. Un proxy en el spoke del GKE puede recibir solicitudes de los otros spokes y reenviarlas al plano de control, actuando como un intermediario autorizado. Las otras opciones son incorrectas: Una regla de firewall solo permite el tráfico si ya existe una ruta de red, lo cual no es el caso entre spokes sin peering directo. Habilitar el Acceso privado a Google no resuelve el problema de conectividad entre spokes para el plano de control de GKE; está diseñado para acceder a los servicios de Google desde redes privadas. Configurar las redes autorizadas con los rangos de los otros spokes funcionaría si el peering de VPC permitiera el tránsito entre spokes, pero el peering de VPC no es transitivo.