У вас есть трехзвенное приложение web→API→база данных в одном VPC, где уровни масштабируются независимо. Трафик должен проходить web→API→DB, и web не должен напрямую обращаться к DB. Как следует настроить сеть?

Правильный ответ — пометить каждый уровень тегом и создать правила брандмауэра для разрешения желаемого потока. В Google Cloud Platform (GCP) теги сети позволяют применять правила брандмауэра к группам виртуальных машин. Вы можете пометить ВМ веб-уровня, API-уровня и уровня базы данных соответствующими тегами (например, web-tier, api-tier, db-tier). Затем создайте правила брандмауэра, которые разрешают трафик: 1. От web-tier к api-tier по нужным портам. 2. От api-tier к db-tier по нужным портам. 3. Запрещают трафик от web-tier к db-tier. Это обеспечивает гранулярный контроль доступа и соответствует принципу наименьших привилегий. Размещение каждого уровня в отдельной подсети не обеспечивает достаточного контроля доступа, так как трафик между подсетями в одном VPC разрешен по умолчанию. Использование программных брандмауэров на основе хостов усложняет управление и не является нативным решением GCP для сетевой безопасности. Создание маршрутов не подходит для контроля доступа на уровне портов и протоколов; маршруты определяют путь трафика, а не разрешают или запрещают его.