您必须在通过 VPN 连接到 WAN 的 VPC 上部署新的 Compute Engine VM，并确保它无法接收来自公共互联网的流量。您应该怎么做？

为了确保 Compute Engine VM 无法接收来自公共互联网的流量，最直接和有效的方法是创建不带公共 IP 地址的实例。没有公共 IP 地址，实例就无法直接通过互联网访问，只能通过内部网络或 VPN 等私有连接方式进行通信。 启用 Private Google Access 的实例主要用于允许没有公共 IP 的实例访问 Google API 和服务，而不是阻止公共互联网流量。在 VPC 网络上创建拒绝所有出站流量的防火墙规则会阻止实例访问外部资源，但不会阻止入站的公共互联网流量（如果实例有公共 IP）。创建一条路由将所有流量通过 VPN 隧道发送到实例，这主要用于控制出站流量的路径，而不是阻止公共互联网的入站流量。