Hai un'applicazione a 3 livelli web→API→database in un'unica VPC, dove i livelli scalano indipendentemente. Il traffico deve fluire web→API→DB e il web non deve raggiungere direttamente il DB. Come dovresti configurare il networking?

L'opzione corretta è "Tagga ogni livello e crea regole firewall per consentire il flusso desiderato". In Google Cloud, i tag di rete consentono di raggruppare istanze VM e applicare regole firewall a quei gruppi. Assegnando tag specifici a ciascun livello (web, API, database) e creando regole firewall che permettono il traffico desiderato (web a API, API a database) e bloccano il traffico indesiderato (web a database), si ottiene il controllo granulare richiesto. Mettere ogni livello in una sottorete diversa non impedisce di per sé il traffico diretto tra sottoreti senza regole firewall esplicite. I firewall software basati su host sono difficili da gestire e scalare in un ambiente cloud. Creare route per consentire il flusso desiderato non è il meccanismo corretto per il controllo dell'accesso tra livelli; le route definiscono i percorsi del traffico, non le autorizzazioni.