Una aplicación web servirá HTTP/HTTPS desde instancias de Compute Engine y necesita SSH ocasional desde una computadora portátil remota para mantenimiento, siguiendo las mejores prácticas de Google. ¿Cómo debe configurar la red y el acceso?

La opción correcta sigue las mejores prácticas de seguridad de Google Cloud. Utilizar Cloud IAP para SSH permite un acceso seguro y granular a las instancias sin exponer puertos SSH directamente a Internet, ya que IAP autentica y autoriza a los usuarios antes de permitir la conexión. Las instancias de Compute Engine con direcciones IP privadas detrás de un balanceador de carga HTTP(S) garantizan que el tráfico web sea manejado de forma escalable y segura, sin que las instancias necesiten direcciones IP públicas. Las otras opciones son menos seguras o eficientes: Un balanceador de carga de proxy TCP no es ideal para HTTP/HTTPS y no aborda el acceso SSH seguro. Permitir todo el tráfico de entrada y usar IPs externas para cada servidor es una práctica de seguridad deficiente, exponiendo las instancias a ataques. Un host bastión es una solución viable para SSH, pero IAP ofrece una alternativa más integrada y segura en Google Cloud, eliminando la necesidad de gestionar un servidor bastión separado y sus vulnerabilidades.