I server on-prem, tramite una Cloud VPN esistente, devono accedere alle API di Cloud Functions mantenendo determinati dati confinati al loro progetto, evitando l'egress su internet per gli host RFC1918, utilizzando il DNS on-prem ed esponendo solo API compatibili con i Controlli di servizio VPC. Quale configurazione DNS/endpoint soddisfa questi requisiti?

La configurazione corretta utilizza il dominio restricted.googleapis.com con l'intervallo IP 199.36.153.4/30. Questo endpoint è specificamente progettato per l'accesso privato alle API di Google Cloud, compatibile con i Controlli di servizio VPC, e garantisce che il traffico rimanga all'interno della rete Google, evitando l'egress su internet. La creazione di un record CNAME per .googleapis.com che punta a questo record A reindirizza tutte le chiamate API al dominio ristretto. La configurazione del router on-prem per instradare il traffico attraverso la Cloud VPN assicura la connettività privata. Infine, la configurazione dei firewall on-premises per consentire il traffico verso questi indirizzi è essenziale per la comunicazione. Le opzioni che usano private.googleapis.com (199.36.153.8/30) non sono compatibili con i Controlli di servizio VPC, e la rimozione del gateway internet predefinito non è necessaria e potrebbe causare problemi di connettività per altre risorse.