Вы включили Private Google Access в подсетях, но исходящий интернет-трафик направляется в локальную среду, и используются VPC Service Controls. Какие изменения в DNS и маршрутизации позволят инстансам обращаться к Google API, сохраняя при этом проверку локальной средой?

Правильный ответ обеспечивает доступ к Google API через ограниченный домен (restricted.googleapis.com), который совместим с VPC Service Controls. Создание частной DNS-зоны с CNAME для .googleapis.com, указывающим на restricted.googleapis.com, и записью A для IP-адресов ограниченного API гарантирует, что запросы к API будут разрешаться в правильные IP-адреса. Создание пользовательского маршрута для этих IP-адресов с next-hop в виде шлюза интернета по умолчанию направляет трафик напрямую к Google API, минуя локальную среду для этого конкре трафика, но сохраняя ее для всего остального исходящего трафика. Неправильные варианты: Изменение маршрута по умолчанию (0.0.0.0/0) на шлюз интернета по умолчанию нарушит требование отправлять исходящий интернет-трафик в локальную среду для проверки. Использование private.googleapis.com несовместимо с VPC Service Controls, так как этот домен предназначен для Private Google Access без использования VPC Service Controls.