Le istanze Compute Engine non possono avere IP pubblici e non è presente una VPN. Devi connetterti tramite SSH a una VM specifica dal tuo ufficio senza violare il requisito di assenza di IP pubblici. Quale approccio dovresti usare?

L'inoltro TCP di IAP (Identity-Aware Proxy) è la soluzione migliore perché consente connessioni SSH sicure a istanze Compute Engine prive di IP pubblici, instradando il traffico attraverso la rete di Google. Richiede solo il ruolo "Utente tunnel protetto da IAP" per l'autenticazione e l'autorizzazione. Configurare Cloud NAT non è sufficiente perché Cloud NAT fornisce solo connettività in uscita per le VM senza IP pubblici; non permette connessioni in entrata dall'esterno. Un bilanciatore del carico TCP Proxy non è adatto per l'SSH diretto a istanze private. I bilanciatori del carico sono progettati per distribuire il traffico a più backend, non per l'accesso diretto a una singola VM tramite SSH. Un bastion host è una soluzione valida per l'accesso a istanze private, ma introduce un punto di accesso esterno e una VM aggiuntiva da gestire, violando implicitamente il requisito di non avere IP pubblici diretti sulle istanze di destinazione e aggiungendo complessità rispetto a IAP.