Tiene máquinas virtuales de Compute Engine en una sola región a través de dos subredes: sub-a (IPs públicas) y sub-b (solo IPs privadas). Las instancias en sub-b deben descargar paquetes de repositorios públicos externos. ¿Cómo habilita el acceso saliente a Internet para sub-b?

La opción correcta es configurar Cloud NAT e incluir sub-b en el mapeo NAT. Cloud NAT permite que las instancias sin direcciones IP externas se conecten a Internet saliente sin exponerse a conexiones entrantes no solicitadas. Esto es ideal para sub-b, que solo tiene IPs privadas y necesita acceder a repositorios públicos. Habilitar el Acceso privado a Google (Private Google Access) solo permite que las instancias con IPs privadas accedan a los servicios de Google Cloud, no a Internet pública. Implementar un host bastión en sub-a para que actúe como proxy sería una solución más compleja y menos escalable que Cloud NAT para este caso de uso. Habilitar el reenvío TCP de Identity-Aware Proxy (IAP) se utiliza para acceder de forma segura a las instancias, no para proporcionar acceso saliente a Internet.