Блокирует ли Google Cloud Firewall трафик между подсетями по умолчанию?

В основном да, по умолчанию трафик между подсетями в данной сети VPC не разрешен (за исключением сети default, которая автоматически создается в вашем проекте).

Обратите внимание, что это фактически блокирует трафик между всеми экземплярами, а не только трафик между подсетями. Таким образом, основное внимание уделяется экземплярам, ​​а не подсетям, но в результате по умолчанию экземпляры в разных подсетях (кроме сети default) не смогут обмениваться данными.

Помните, что правила брандмауэра VPC применяются на уровне экземпляра, хотя его конфигурация находится на сетевом уровне.

Хотя правило применяется на уровне экземпляра, его конфигурация связана с сетью VPC.

Как вы заметили, существует только два подразумеваемых правил:

• разрешить весь выход (на любой другой адрес, включая внутренний)
• запретить любой вход (с любого другого адреса, включая внутренний)

Также существуют правила по умолчанию только в default сети.

• разрешить внутренний трафик (default-allow-internal) -- это правило разрешает трафик между экземплярами (независимо от подсети)
• разрешить вход по ssh из любого источника
• разрешить вход rdp из любого источника
• разрешить вход icmp из любого источника

Итак, в сети, отличной от default, вам нужно будет создать эквивалент правила default-allow-internal (разрешить все протоколы со всех IP-адресов в сети любому экземпляру в сети).