us-west1 和 us-east1 中的 VM 不得拥有公共 IP，但必须从互联网获取更新。在默认路由的情况下，如何在不分配公共 IP 的情况下允许出站互联网访问？

为了让没有公共 IP 的虚拟机访问互联网，需要使用 Cloud NAT。Cloud NAT 是一种区域性服务，因此您必须在每个需要出站互联网访问的区域（本例中为 us-west1 和 us-east1）中创建 Cloud NAT 网关和 Cloud Router。Cloud Router 负责为 Cloud NAT 提供路由。 单个全局 Cloud NAT 网关和全局 Cloud Router 是不正确的，因为 Cloud NAT 是区域性服务，不能跨区域共享。将实例的网络接口外部 IP 从 None 更改为 Ephemeral 会为虚拟机分配公共 IP，这与题目要求（不得拥有公共 IP）相悖。创建允许出站到目标 0.0.0.0/0 的防火墙规则是必要的，但它只控制流量，并不能为没有公共 IP 的虚拟机提供出站互联网连接。