Você tem VMs do Compute Engine em uma única região em duas sub-redes: sub-a (IPs públicos) e sub-b (somente IPs privados). As instâncias em sub-b devem baixar pacotes de repositórios públicos externos. Como você habilita o acesso de saída à internet para sub-b?

O Cloud NAT é a solução correta porque permite que VMs sem IPs públicos acessem a internet de forma segura. Ele traduz os IPs privados das VMs para um IP público do NAT, permitindo o tráfego de saída sem expor as VMs diretamente à internet. Habilitar o Private Google Access permite que VMs acessem APIs e serviços do Google sem IPs públicos, mas não fornece acesso à internet em geral para repositórios externos. Um bastion host em sub-a seria usado para acesso SSH de entrada seguro às VMs em sub-b, não para acesso de saída à internet. O encaminhamento TCP do Identity-Aware Proxy (IAP) é para acesso de entrada seguro a VMs por meio do console do Google Cloud ou gcloud, não para acesso de saída à internet.