Hai VM Compute Engine in una singola regione su due subnet: sub-a (IP pubblici) e sub-b (solo IP privati). Le istanze in sub-b devono scaricare pacchetti da repository pubblici esterni. Come abiliti l'accesso a Internet in uscita per sub-b?

Cloud NAT è la soluzione corretta perché consente alle istanze VM senza indirizzi IP esterni di connettersi a Internet. Configurando Cloud NAT e includendo sub-b nella sua mappatura, le istanze in sub-b possono scaricare pacchetti dai repository pubblici utilizzando un indirizzo IP pubblico gestito da Cloud NAT. Abilitare Private Google Access su sub-b permetterebbe alle istanze di accedere ai servizi Google (come Cloud Storage) tramite indirizzi IP interni, ma non fornirebbe accesso a Internet generale. Distribuire un bastion host in sub-a per il proxy sarebbe una soluzione manuale e meno scalabile rispetto a Cloud NAT, richiedendo configurazione e gestione aggiuntive. Abilitare Identity-Aware Proxy TCP forwarding è per l'accesso in entrata sicuro alle VM, non per l'accesso in uscita a Internet.