Las instancias de Compute Engine no pueden tener IP públicas y no hay VPN. Debe conectarse por SSH a una VM específica desde su oficina sin violar el requisito de no tener IP pública. ¿Qué enfoque debe utilizar?

La opción correcta es habilitar el reenvío TCP de IAP (Identity-Aware Proxy). IAP permite establecer una conexión SSH a una instancia de Compute Engine sin IP pública, utilizando la infraestructura de Google como un túnel seguro. Al asignar el rol de usuario de túnel protegido por IAP, se autoriza a los usuarios a conectarse a través de gcloud compute ssh --tunnel-through-iap. Las otras opciones son incorrectas: Cloud NAT solo permite que las instancias sin IP pública inicien conexiones salientes a Internet, no conexiones entrantes desde el exterior. Un balanceador de carga de proxy TCP requeriría que la instancia tuviera una IP pública o que el balanceador de carga estuviera en una red accesible, lo cual viola el requisito. Un host bastión requeriría que el bastión tuviera una IP pública, lo cual también viola el requisito de que ninguna VM tenga IP pública.