Ha habilitado el Acceso privado de Google en las subredes, pero la salida a Internet está "hairpinned" a las instalaciones locales y se utilizan los Controles de servicio de VPC. ¿Qué cambios de DNS y enrutamiento permiten que las instancias lleguen a las API de Google mientras se mantiene la inspección local?

La opción correcta permite el acceso a las API de Google mientras se mantiene la inspección local. Al crear una zona DNS privada que redirige .googleapis.com a restricted.googleapis.com y un registro A para el rango de IP restringidas de Google, las instancias resuelven las API a las direcciones IP que admiten VPC Service Controls. Luego, una ruta personalizada que dirige este rango de IP restringidas a la puerta de enlace de Internet predeterminada asegura que el tráfico salga a través de la red local para la inspección ("hairpinning"). Las opciones incorrectas que usan private.googleapis.com son incorrectas porque private.googleapis.com es para el Acceso privado de Google sin salida a Internet, lo cual no es el caso aquí, ya que se requiere inspección local. Las opciones que modifican la ruta predeterminada (0.0.0.0/0) son incorrectas porque cambiar la ruta predeterminada afectaría todo el tráfico saliente, no solo el tráfico a las API de Google, y no es la forma granular de manejar este requisito específico.