Les instances de VM ont uniquement des adresses IP privées et nécessitent un accès à Cloud Storage. Tout le trafic des VM doit être acheminé vers le réseau sur site via Cloud Interconnect pour être filtré, mais le trafic des VM vers les API Google doit rester dans le VPC. Que devez-vous faire ?

La bonne réponse permet d'atteindre tous les objectifs. Supprimer la route par défaut du VPC et annoncer 0.0.0.0/0 depuis le routeur sur site via BGP garantit que tout le trafic non-spécifique (y compris celui vers Cloud Storage si non géré autrement) est acheminé vers le réseau sur site pour filtrage. L'utilisation de Cloud DNS privé pour mapper .googleapis.com vers private.googleapis.com (199.36.153.8/30) et une route statique vers 199.36.153.8/30 via la passerelle Internet par défaut assure que le trafic vers les API Google reste dans le VPC, utilisant l'accès privé de Google. Les autres options sont incorrectes car : Utiliser restricted.googleapis.com (199.36.153.4/30) limite l'accès à un sous-ensemble d'API et ne permet pas l'accès complet à Cloud Storage via l'accès privé de Google. Annoncer 0.0.0.0/0 depuis le routeur sur site avec une priorité inférieure à la route VPC par défaut ne redirigerait pas tout le trafic vers le réseau sur site. Utiliser une zone Cloud DNS publique n'est pas approprié pour les VM avec uniquement des adresses IP privées.