https://cloud.google.com/compute/docs/instance-groups/rolling-out-updates-to-managed-instance-groups

正解は C です。ターゲット インスタンスを構成し、インスタンスにマッピングされる外部 IP アドレスごとにプロトコル転送ルールを作成します。
この回答は次の事実に基づいています。
ターゲット インスタンスは、1 つ以上の転送ルールからのトラフィックを処理する Compute Engine インスタンスです1。ターゲット インスタンスを使用して、1 つ以上の外部 IP アドレスから単一の VM インスタンスにトラフィックを転送できます2。
プロトコル転送ルールでは、転送するトラフィックの IP プロトコルとポート範囲を指定します3。プロトコル転送ルールを使用して、ESP4 を含む任意の IP プロトコルのトラフィックを転送できます。
他のオプションは次の理由により正しくありません。
オプション A は使用できません。ターゲット プールのプロトコル転送ルールを作成することはできません。ターゲット プールは、ネットワーク ロード バランサーからトラフィックを受信するインスタンスのグループです5。
オプション B は適切ではありません。外部 IP アドレスごとに外部ネットワーク ロード バランサを作成する必要はありません。外部ネットワーク ロード バランサーは、宛先 IP アドレスとポートに基づいて、複数のバックエンド インスタンス間でトラフィックを分散します。複数の転送ルールを持つ単一のロード バランサーを使用して、複数の外部 IP アドレスを同じバックエンド サービスにマッピングできます。
オプション D は実現不可能です。Compute Engine インスタンスの単一のネットワーク インターフェースに複数の外部 IP アドレスを追加することはできません。各ネットワーク インターフェイスは、一時的または静的な外部 IP アドレスを 1 つだけ持つことができます。エイリアス IP 範囲を使用すると、複数の内部 IP アドレスを単一のネットワーク インターフェイスに割り当てることができますが、外部 IP アドレスは割り当てることができません。

次の要件を満たすため、正解は D です。
これは、オンプレミス ネットワークのハブアンドスポーク モデルに一致します。各スポークは、中央のハブ VPC ネットワークに接続された個別の VPC ネットワークです。
VPC ネットワーク ピアリングは、外部 IP アドレスや VPN ゲートウェイを使用せずに VPC ネットワークに接続するためのシンプルかつ低コストの方法であるため、管理のオーバーヘッドとコストが最小限に抑えられます1。
VPC ネットワーク ピアリングは VPN トンネル、外部 IP アドレス、または転送ルールのクォータや制限を消費しないため、デフォルトのネットワーク クォータと制限が使用されます2。
VPC ネットワーク ピアリングはデフォルトで非推移的であるため、スポーク間の接続が妨げられます。つまり、スポークはハブとのみ通信でき、他のスポークとは通信できません1。この制限を強制するには、サードパーティのネットワーク アプライアンスを各スポーク VPC ネットワークのデフォルト ゲートウェイとして使用できます。これにより、他のスポーク宛てのトラフィックをフィルターで除外できます3。
オプション A は不正解です。Cloud VPN では下りトラフィックに料金が発生し、VPN ゲートウェイに外部 IP アドレスが必要となるため、コストが最小限に抑えられません4。オプション B は不正解です。VPC ネットワーク ピアリングでは、ピアリングされた VPC ネットワーク間の直接通信がデフォルトで許可されているため、スポーク間の接続は妨げられません1。オプション C は、オプション A と同じ理由で、コストを最小限に抑えたり、デフォルトのクォータと制限を使用したりしないため、不正解です。
参照：
VPC ネットワーク ピアリングの概要 | VPC
割り当てと制限 | VPC
ハブアンドスポーク ネットワーク アーキテクチャ | クラウド アーキテクチャ センター
クラウド VPN の概要 | グーグルクラウド

正解は D です。クラスターに対してプライベートに使用されるパブリック IP のプライマリおよびセカンダリのサブネット範囲を作成します。--disable-default-snat、--enable-ip-alias、--enable-private-nodes のオプションを選択して、プライベート GKE クラスタを作成します。
この回答は次の事実に基づいています。
プライベート使用パブリック IP (PUPI) アドレスは、顧客が Google Cloud1 上でプライベートに使用できる、Google が所有していないパブリック IP アドレスです。プライベート クラスタ内の GKE ポッドとサービスに PUPI アドレスを使用して、アドレスの枯渇を軽減できます。
プライベート GKE クラスタは、ノード上にパブリック IP アドレスを持たないクラスタです2。プライベート クラスターを使用すると、ワークロードをパブリック インターネットから分離し、セキュリティを強化できます。
--disable-default-snat オプションは、クラスターの送信元ネットワーク アドレス変換 (SNAT) を無効にします3。このオプションを使用すると、インターネット上の他のパブリック IP アドレスと競合することなく PUPI アドレスを使用できます。
--enable-ip-alias オプションは、クラスターのエイリアス IP 範囲を有効にします4。このオプションを使用すると、ノード、ポッド、サービスに個別のサブネット範囲を使用し、それらの範囲のサイズを指定できます。
--enable-private-nodes オプションは、クラスターのプライベート ノードを有効にします5。このオプションにより、ノードにはパブリック IP アドレスがなく、同じ VPC ネットワークまたはピアリングされたネットワーク内の他の Google Cloud リソースとのみ通信できるようになります。
他のオプションは次の理由により正しくありません。
オプション A は適切ではありません。クラスターに対して RFC 1918 のプライマリおよびセカンダリのサブネット IP 範囲を作成しても、アドレス枯渇の問題は解決されません。複数のプライベート GKE クラスタ間でポッドのセカンダリ アドレス範囲を再利用すると、IP の競合やルーティングの問題が発生する可能性があります。
オプション B も適切ではありません。クラスターに対して RFC 1918 のプライマリおよびセカンダリのサブネット IP 範囲を作成しても、アドレス枯渇の問題は解決されません。複数のプライベート GKE クラスタにわたるサービスのセカンダリ アドレス範囲を再利用すると、IP の競合やルーティングの問題が発生する可能性があります。
オプション C は実現不可能です。クラスタにプライベートで使用されるパブリック IP のプライマリ サブネット範囲とセカンダリ サブネット範囲を作成することは有効な手順ですが、--enable-ip-alias オプションと --enable-private-nodes オプションのみを使用してプライベート GKE クラスタを作成するだけでは十分ではありません。また、インターネット上の他のパブリック IP アドレスとの IP 競合を避けるために、デフォルトの SNAT を無効にする必要があります。