As instâncias do Compute Engine não podem ter IPs públicos e não há VPN. Você deve usar SSH para uma VM específica do seu escritório sem violar o requisito de não ter IP público. Qual abordagem você deve usar?

A opção correta é habilitar o encaminhamento TCP do IAP (Identity-Aware Proxy) e usar a função IAP-Secured Tunnel User. O IAP permite que você acesse instâncias do Compute Engine sem IPs públicos, roteando o tráfego SSH através da infraestrutura do Google de forma segura. A ferramenta gcloud pode ser configurada para usar o IAP para SSH. Configurar o Cloud NAT não funciona para conexões de entrada, pois ele é usado para permitir que instâncias sem IPs públicos iniciem conexões de saída para a internet. Um TCP Proxy Load Balancer requer que as instâncias tenham IPs públicos ou que o balanceador de carga tenha um IP público, o que viola o requisito. Criar um host bastion com acesso externo também viola o requisito de não ter IP público na VM de destino, além de introduzir um ponto de entrada adicional.