Usted enruta la salida 0.0.0.0/0 a un NGFW de terceros. Las instancias sin IP externas deben acceder a BigQuery y Pub/Sub sin atravesar el firewall. ¿Qué dos acciones logran esto?

Para que las instancias sin IP externas accedan a los servicios de Google como BigQuery y Pub/Sub sin pasar por un firewall de terceros, se requieren dos acciones clave. Primero, debe habilitar el Acceso Privado a Google (Private Google Access) en las subredes donde residen estas instancias. Esto permite que las máquinas virtuales sin direcciones IP externas utilicen las direcciones IP internas de Google para acceder a los servicios. Segundo, debe crear rutas estáticas personalizadas que dirijan el tráfico destinado a los rangos de IP externas de las API de Google hacia la puerta de enlace de Internet predeterminada. Esto asegura que el tráfico a los servicios de Google no sea interceptado por la ruta 0.0.0.0/0 que apunta al NGFW. Habilitar Private Google Access a nivel de VPC no es una opción válida, ya que se configura por subred. Private Services Access es para conectar su VPC a servicios de Google alojados en una red de productores de servicios, no para que sus instancias accedan a las API públicas de Google. Dirigir las IP internas de las API de Google es incorrecto, ya que las API de Google se exponen a través de rangos de IP externas.