As VMs em us-west1 e us-east1 não devem ter IPs públicos, mas devem buscar atualizações da internet. Com o roteamento padrão, como você permite o acesso de saída à internet sem atribuir IPs públicos?

Para permitir que VMs sem IPs públicos acessem a internet para atualizações, é necessário um Cloud NAT. O Cloud NAT traduz os endereços IP privados das VMs para um IP público gerenciado pelo NAT, possibilitando a comunicação de saída. Como as VMs estão em duas regiões distintas (us-west1 e us-east1), é preciso criar um gateway Cloud NAT e um Cloud Router em cada uma dessas regiões. O Cloud Router é necessário para estabelecer a conectividade para o Cloud NAT. Criar um único gateway Cloud NAT global não é possível, pois o Cloud NAT é um serviço regional. Alterar o IP externo para efêmero atribuiria um IP público às VMs, o que vai contra o requisito do problema. Uma regra de firewall para 0.0.0.0/0 permite o tráfego de saída, mas não resolve o problema de VMs sem IP público acessarem a internet.