VM-instanties hebben alleen privé-IP's en hebben Cloud Storage-toegang nodig. Al het VM-verkeer moet via Cloud Interconnect terug naar on-prem worden gerouteerd voor scrubbing, maar VM-verkeer naar Google API's moet binnen de VPC blijven. Wat moet u doen?

De correcte oplossing zorgt ervoor dat al het uitgaande verkeer, behalve dat naar Google API's, via Cloud Interconnect naar on-prem wordt gerouteerd voor scrubbing. Door de standaardroute te verwijderen en 0.0.0.0/0 via BGP vanaf on-prem te adverteren, wordt al het verkeer dat niet specifiek is gerouteerd, naar on-prem gestuurd. Voor toegang tot Google API's via Private Google Access wordt een private Cloud DNS-zone geconfigureerd die .googleapis.com naar private.googleapis.com omzet, met een A-record naar 199.36.153.8/30. Een statische route voor dit IP-bereik met de standaard internetgateway als next hop zorgt ervoor dat dit verkeer binnen de VPC blijft en direct naar Google API's gaat. De andere opties zijn onjuist omdat: Het gebruik van restricted.googleapis.com (199.36.153.4/30) beperkt de toegang tot een subset van services en voldoet niet aan de vereiste voor Cloud Storage-toegang, die private.googleapis.com vereist. Het aanmaken van een publieke Cloud DNS-zone is niet nodig en kan beveiligingsrisico's opleveren. Het adverteren van 0.0.0.0/0 met een lagere prioriteit dan de standaard VPC-route zou betekenen dat de standaardroute nog steeds actief is, wat conflicteert met de eis om al het verkeer (behalve API-verkeer) via on-prem te sturen.