On-prem servers via een bestaande Cloud VPN moeten toegang hebben tot Cloud Functions API's, terwijl: bepaalde gegevens beperkt blijven tot hun project, internet-egress voor RFC1918-hosts wordt vermeden, on-prem DNS wordt gebruikt en alleen API's worden blootgesteld die compatibel zijn met VPC Service Controls. Welke DNS/endpoint-configuratie voldoet aan deze vereisten?

De correcte optie gebruikt restricted.googleapis.com met het IP-bereik 199.36.153.4/30. Dit is het juiste endpoint voor Google API's die compatibel zijn met VPC Service Controls en die private toegang bieden zonder internet-egress. Het CNAME-record voor .googleapis.com zorgt ervoor dat alle Google API-aanroepen via dit restricted endpoint worden gerouteerd. Het configureren van on-prem routers om de VPN-tunnel als volgende hop te gebruiken voor deze adressen, leidt het verkeer correct door de bestaande VPN-verbinding. Ten slotte zorgt het aanpassen van on-premises firewalls ervoor dat het verkeer naar deze specifieke IP-adressen is toegestaan. De andere opties zijn incorrect omdat: Opties die private.googleapis.com gebruiken (met 199.36.153.8/30) bieden wel private toegang, maar zijn niet specifiek ontworpen voor VPC Service Controls en bieden niet de vereiste beveiliging voor beperkte gegevens. Opties die de standaard internetgateway verwijderen, zijn niet de primaire methode om internet-egress voor RFC1918-hosts te vermijden in dit scenario; de routing via de VPN-tunnel en het gebruik van de restricted API's zijn hiervoor cruciaal. Bovendien kan het verwijderen van de standaard gateway onbedoelde neveneffecten hebben op andere services.