您在一個 VPC 中有一個三層式 web→API→資料庫應用程式，其中各層獨立擴展。流量必須依 web→API→DB 的順序流動，且 web 不得直接存取 DB。您應該如何設定網路？

正確答案是「標記每一層並建立防火牆規則以允許所需的流量」。在 Google Cloud 中，使用網路標記 (network tags) 標識應用程式層，然後建立防火牆規則來控制層之間的流量，是實作此類網路分段的標準且彈性高的做法。這樣可以確保只有 web 層可以與 API 層通訊，API 層可以與資料庫層通訊，同時阻止 web 層直接存取資料庫層。 將每一層放在不同的子網路中：雖然這提供了網路隔離，但仍需要防火牆規則來精確控制子網路之間的通訊，因此單獨使用子網路是不夠的。 在每個 VM 上使用基於主機的軟體防火牆：這會增加管理複雜性，且不如 GCP 的原生防火牆規則集中和可擴展。 標記每一層並建立路由以允許所需的流量：路由主要用於引導流量到目的地，而不是控制流量是否被允許。防火牆規則才是控制流量存取的正確工具。