您在子网上启用了 Private Google Access，但互联网出口流量被回传到本地，并且正在使用 VPC Service Controls。哪些 DNS 和路由更改可以让实例访问 Google API，同时保留本地检查？

正确答案通过配置DNS和路由，使实例能够访问Google API，同时保持本地检查和VPC Service Controls。第一步是创建私有DNS区域，将所有Google API请求（.googleapis.com）解析到restricted.googleapis.com，并将其IP地址指向Google受限API的特定IP范围。restricted.googleapis.com是支持VPC Service Controls的端点。第二步是创建自定义路由，将指向Google受限API地址范围的流量路由到默认互联网网关，确保这些请求能够离开本地网络并到达Google。 选项2错误，因为它建议更改默认路由，这会影响所有出站流量，而不是仅针对Google API流量，可能绕过本地检查。选项3和4错误，因为它们使用了private.googleapis.com，这不支持VPC Service Controls，无法满足题目要求。