Włączono Private Google Access w podsieciach, ale ruch wychodzący do internetu jest przekierowywany do środowiska lokalnego, a VPC Service Controls są w użyciu. Jakie zmiany w DNS i routingu pozwolą instancjom na dostęp do Google API, jednocześnie zachowując inspekcję w środowisku lokalnym?

Poprawna odpowiedź umożliwia instancjom dostęp do Google API poprzez Restricted Google Access, który jest zgodny z VPC Service Controls i wymaga routingu do internetu. Utworzenie prywatnej strefy DNS z CNAME dla .googleapis.com wskazującym na restricted.googleapis.com oraz rekordem A dla zakresu adresów Restricted API Google (199.36.153.4/30) kieruje ruch do odpowiednich punktów końcowych. Następnie, niestandardowa trasa wskazująca ten zakres adresów na domyślną bramę internetową jako następny przeskok zapewnia, że ruch do Restricted API Google jest kierowany bezpośrednio do internetu, omijając lokalną inspekcję dla tego konkretnego ruchu, jednocześnie zachowując lokalną inspekcję dla pozostałego ruchu wychodzącego (domyślna trasa 0.0.0.0/0). Pozostałe opcje są niepoprawne, ponieważ: Opcje odwołujące się do private.googleapis.com są przeznaczone dla Private Google Access bez VPC Service Controls i nie są odpowiednie w tym scenariuszu. Zmiana domyślnej trasy (0.0.0.0/0) na domyślną bramę internetową jako następny przeskok spowodowałaby, że cały ruch wychodzący do internetu omijałby lokalną inspekcję, co jest sprzeczne z wymaganiem zachowania inspekcji w środowisku lokalnym.