Экземпляры Compute Engine не могут иметь публичных IP-адресов, и VPN отсутствует. Вам необходимо подключиться по SSH к определенной ВМ из вашего офиса, не нарушая требование об отсутствии публичных IP-адресов. Какой подход следует использовать?

Правильный ответ — включить перенаправление TCP IAP. Identity-Aware Proxy (IAP) позволяет безопасно подключаться к внутренним ресурсам, таким как ВМ Compute Engine, без необходимости публичных IP-адресов или VPN. Для этого требуется, чтобы пользователь имел роль IAP-Secured Tunnel User и использовал команду gcloud compute ssh с флагом --tunnel-through-iap. Cloud NAT не подходит, так как он предоставляет исходящий доступ для ВМ без публичных IP, но не позволяет входящие SSH-соединения извне. TCP Proxy Load Balancer предназначен для распределения трафика между несколькими экземплярами и не обеспечивает прямой SSH-доступ к отдельной ВМ без публичного IP. Bastion host требует создания ВМ с публичным IP, что нарушает условие задачи.