Você deve implantar uma nova VM do Compute Engine em uma VPC conectada à sua WAN via VPN e garantir que ela não possa receber tráfego da Internet pública. O que você deve fazer?

Para garantir que uma VM não receba tráfego da Internet pública, a medida mais direta e eficaz é criá-la sem um endereço IP externo (público). Isso impede qualquer conexão direta da Internet. Criar a instância com o Private Google Access ativado permite que VMs sem IPs externos acessem serviços do Google, mas não as isola da Internet pública, pois a comunicação é de saída. Criar uma regra de firewall de saída que negue todo o tráfego na rede VPC impediria a VM de se comunicar com qualquer destino, inclusive a VPN, o que não é o objetivo. O foco é o tráfego de entrada da Internet. Criar uma rota que envie todo o tráfego para a instância pelo túnel VPN não impede o tráfego de entrada da Internet pública se a VM tiver um IP externo. A rota apenas direciona o tráfego de saída da VM.