您将出站 0.0.0.0/0 路由到第三方 NGFW。没有外部 IP 的实例必须访问 BigQuery 和 Pub/Sub，而无需遍历防火墙。哪两项操作可以实现此目的？

在子网中启用 Private Google Access 允许没有外部 IP 地址的虚拟机实例通过 Google 的内部网络访问 Google API 和服务，例如 BigQuery 和 Pub/Sub，而无需流量离开 Google 网络或经过第三方 NGFW。 创建自定义静态路由，将 Google API 的外部 IP 范围指向默认互联网网关，可以确保即使实例没有外部 IP，其发往 Google API 外部 IP 地址范围的流量也会通过 Google 的默认互联网网关路由，从而绕过第三方 NGFW，直接到达 Google 服务。 在 VPC 级别启用 Private Google Access 是不正确的，因为它必须在子网级别启用。在 VPC 上启用 Private Services Access 是用于连接到托管服务提供商的 VPC，而不是用于访问 Google API。创建自定义静态路由，将 Google API 的内部 IP 指向默认互联网网关是错误的，因为 Google API 的内部 IP 地址通常不能直接通过默认互联网网关访问。