Cloud VPN ha una route statica 0.0.0.0/0 verso l'ambiente on-prem e Cloud NAT è stato configurato, ma il traffico delle istanze non viene sottoposto a NAT. Come si garantisce che le VM utilizzino il gateway Internet e Cloud NAT invece della VPN?

La risposta corretta è aggiungere una route statica predefinita (0.0.0.0/0) alla VPC con il gateway Internet predefinito come next hop, associata alle istanze tramite un tag di rete e con una priorità più alta rispetto alla route VPN. Questo perché le route con priorità più alta vengono preferite. La route VPN esistente instrada tutto il traffico (0.0.0.0/0) verso l'ambiente on-premise, bypassando Cloud NAT. Creando una route predefinita specifica per le VM che punta al gateway Internet con una priorità superiore, si forza il traffico di tali istanze a uscire tramite il gateway Internet e quindi attraverso Cloud NAT. Le altre opzioni sono errate: Abbassare il TCP Established Connection Idle Timeout o aumentare min-ports-per-vm per Cloud NAT non influisce sulla selezione del percorso di routing. Le regole firewall controllano il traffico consentito, non la selezione della route.