Hai abilitato l'accesso privato di Google (Private Google Access) sulle subnet, ma il traffico in uscita verso internet è "hairpinned" verso l'ambiente on-premise e sono in uso i Controlli di servizio VPC (VPC Service Controls). Quali modifiche DNS e di routing consentono alle istanze di raggiungere le API di Google mantenendo l'ispezione on-premise?

L'opzione corretta abilita l'accesso alle API di Google tramite il dominio restricted.googleapis.com e l'intervallo IP associato, che è l'endpoint raccomandato quando si utilizzano i Controlli di servizio VPC (VPC Service Controls). Creando una zona DNS privata con un CNAME e un record A per questo intervallo, le istanze risolvono correttamente gli indirizzi IP delle API. La route personalizzata indirizza il traffico per questi IP direttamente al gateway internet predefinito, bypassando l'hairpinning verso l'ambiente on-premise, pur mantenendo l'ispezione on-premise per il traffico generico. Le opzioni che utilizzano private.googleapis.com sono errate perché restricted.googleapis.com è l'endpoint specifico per l'uso con i Controlli di servizio VPC. Modificare la route predefinita (0.0.0.0/0) non risolverebbe il problema dell'hairpinning se l'intento è mantenere l'ispezione on-premise per il traffico generale, poiché reindirizzerebbe tutto il traffico internet, non solo quello delle API di Google.