Tiene una aplicación de tres niveles (web→API→base de datos) en una VPC donde los niveles escalan de forma independiente. El tráfico debe fluir de web→API→DB y la web no debe acceder directamente a la base de datos. ¿Cómo debe configurar la red?

La opción correcta es etiquetar cada nivel y crear reglas de firewall porque las etiquetas (tags) en Google Cloud permiten aplicar reglas de firewall a grupos específicos de instancias, sin importar su subred o dirección IP. Esto facilita definir políticas de seguridad granulares. Al etiquetar cada nivel (web, API, DB) y crear reglas de firewall que permitan el tráfico de web a API, de API a DB, y denieguen el tráfico directo de web a DB, se logra el control de flujo deseado. Poner cada nivel en una subred diferente no impide el acceso directo; las reglas de firewall seguirían siendo necesarias para controlar el tráfico entre subredes. Usar firewalls de software basados en host es ineficiente y difícil de gestionar a escala. Etiquetar y crear rutas no es el mecanismo correcto para controlar el acceso entre instancias; las rutas dirigen el tráfico a destinos, no lo filtran por origen/destino específico de la aplicación.