Você roteia a saída 0.0.0.0/0 para um NGFW de terceiros. As instâncias sem IPs externos devem acessar o BigQuery e o Pub/Sub sem passar pelo firewall. Quais duas ações realizam isso?

Para que instâncias sem IPs externos acessem APIs do Google como BigQuery e Pub/Sub sem passar pelo firewall de terceiros, duas ações são necessárias. Primeiro, habilitar o Private Google Access na(s) sub-rede(s) permite que as instâncias usem os endereços IP internos do Google para acessar os serviços, sem a necessidade de um IP externo ou de passar pelo firewall. Segundo, criar rotas estáticas personalizadas direcionando os intervalos de IP externos das APIs do Google para o gateway de internet padrão garante que o tráfego para esses serviços específicos ignore a rota 0.0.0.0/0 para o NGFW. Habilitar o Private Google Access no nível da VPC não é uma opção válida, pois a configuração é por sub-rede. Habilitar o Private Services Access é para conectar sua VPC a redes de produtores de serviços, não para acesso direto a APIs do Google. Criar rotas estáticas direcionando IPs internos das APIs do Google para o gateway de internet padrão está incorreto, pois o acesso interno já é tratado pelo Private Google Access e não requer roteamento para o gateway de internet.