Cloud VPN tiene una ruta estática 0.0.0.0/0 a la red local, y Cloud NAT fue configurado, pero el tráfico de la instancia no está realizando NAT. ¿Cómo se asegura de que las VM utilicen el internet gateway y Cloud NAT en lugar de la VPN?

La respuesta correcta es agregar una ruta estática predeterminada a la VPC con el internet gateway predeterminado como el siguiente salto, la etiqueta de red asociada con las instancias de Compute Engine y una prioridad más alta que la prioridad de la ruta predeterminada al túnel VPN. Esto asegura que el tráfico de las VM, al coincidir con la etiqueta de red, utilice el internet gateway y Cloud NAT para salir a internet, ya que las rutas con mayor prioridad son preferidas. La ruta 0.0.0.0/0 existente a la VPN tiene una prioridad más baja, por lo que el tráfico destinado a internet la ignorará. Reducir el TCP Established Connection Idle Timeout o aumentar min-ports-per-vm para el gateway NAT no influye en la selección de la ruta de salida. Las reglas de firewall controlan el acceso, no la selección de la ruta de salida.