Un cliente on-premises envía solicitudes a través de una Cloud VPN y parece provenir de un proyecto que está fuera de un perímetro de VPC Service Controls que protege un bucket de Cloud Storage. ¿Podrá ese cliente on-prem acceder al bucket protegido por defecto?

Las solicitudes que provienen de un proyecto fuera de un perímetro de VPC Service Controls son bloqueadas por defecto, incluso si el tráfico llega a través de una Cloud VPN. VPC Service Controls está diseñado para proteger los recursos de Google Cloud de la exfiltración de datos, y esto incluye el tráfico que parece originarse fuera del perímetro definido. Para permitir el acceso desde entornos locales a recursos protegidos, es necesario configurar explícitamente un puente de perímetro (perimeter bridge) o reglas de entrada/salida (ingress/egress rules) que especifiquen los proyectos o redes de origen permitidos. Las otras opciones son incorrectas porque el tráfico de Cloud VPN no omite automáticamente VPC Service Controls, Private Google Access solo permite que las VMs de la VPC accedan a las APIs de Google sin una IP externa, y Private Service Connect se usa para acceder a servicios publicados, no para eludir perímetros de VPC Service Controls desde entornos locales.