Musisz wdrożyć nową maszynę wirtualną Compute Engine w sieci VPC połączonej z Twoją siecią WAN za pośrednictwem VPN i upewnić się, że nie może ona odbierać ruchu z publicznego Internetu. Co powinieneś zrobić?

Utworzenie instancji Compute Engine bez publicznego adresu IP jest najprostszym i najskuteczniejszym sposobem na zapewnienie, że nie będzie ona odbierać ruchu z publicznego Internetu. Instancje bez publicznych adresów IP mogą komunikować się z Internetem tylko za pośrednictwem NAT, ale nie są bezpośrednio dostępne z zewnątrz. Opcja "Utwórz instancję z włączoną funkcją Private Google Access" jest nieprawidłowa, ponieważ Private Google Access umożliwia instancjom bez publicznych adresów IP dostęp do usług Google API, ale nie blokuje ruchu przychodzącego z Internetu, jeśli instancja miałaby publiczny IP. Opcja "Utwórz regułę zapory sieciowej typu „deny-all egress” w sieci VPC" jest nieprawidłowa, ponieważ reguły zapory sieciowej typu "deny-all egress" blokują ruch wychodzący, a nie przychodzący z Internetu. Opcja "Utwórz trasę, która wysyła cały ruch do instancji przez tunel VPN" jest nieprawidłowa. Trasy wpływają na ruch wychodzący z instancji i jego kierowanie, ale nie blokują ruchu przychodzącego z publicznego Internetu, jeśli instancja ma publiczny adres IP.