Le istanze VM hanno solo IP privati e necessitano dell'accesso a Cloud Storage. Tutto il traffico delle VM deve essere reindirizzato on-prem tramite Cloud Interconnect per lo scrubbing, ma il traffico delle VM verso le API di Google deve rimanere nella VPC. Cosa dovresti fare?

La soluzione corretta prevede di eliminare la route predefinita nella VPC e di configurare il router on-prem per annunciare 0.0.0.0/0 tramite BGP. Questo reindirizza tutto il traffico delle VM, incluso quello verso Cloud Storage, attraverso Cloud Interconnect per lo scrubbing. Per garantire che il traffico verso le API di Google rimanga nella VPC, è necessario configurare l'accesso privato a Google. Questo si ottiene creando una zona Cloud DNS privata per googleapis.com, mappando .googleapis.com a private.googleapis.com tramite CNAME e puntando private.googleapis.com all'intervallo IP 199.36.153.8/30 con un record A. Infine, una route statica per 199.36.153.8/30 con il gateway Internet predefinito come next hop assicura che questo traffico utilizzi la rete Google. Le opzioni errate presentano diverse problematiche: La prima opzione utilizza restricted.googleapis.com e 199.36.153.4/30, che è l'intervallo per l'accesso API limitato, non per l'accesso privato che consente l'accesso a Cloud Storage. La seconda opzione suggerisce una zona Cloud DNS pubblica e private.googleapis.com con 199.36.153.8/30, ma una zona DNS pubblica non è l'approccio corretto per l'accesso privato da VM con solo IP privati. La terza opzione mantiene la route predefinita nella VPC, il che non reindirizzerebbe tutto il traffico on-prem per lo scrubbing come richiesto.