VPN 経由で WAN に接続された VPC に新しい Compute Engine VM をデプロイし、パブリックインターネットからトラフィックを受信できないようにする必要があります。どうすればよいですか？

パブリック IP アドレスなしでインスタンスを作成すると、そのインスタンスはインターネットから直接アクセスできなくなります。これは、パブリックインターネットからのトラフィック受信を防止するための最も直接的で効果的な方法です。VPN 経由でのみアクセス可能となり、セキュリティが向上します。 Private Google Access を有効にしても、インスタンスがインターネットからアクセスできないわけではありません。これは、内部 IP アドレスを持つVMがGoogleサービスにアクセスできるようにするための機能です。 deny-all の下り（外向き）ファイアウォールルールは、インスタンスからインターネットへの送信トラフィックをブロックしますが、インターネットからインスタンスへの受信トラフィックはブロックしません。 すべてのトラフィックを VPN トンネル経由でインスタンスに送信するルートを作成しても、インスタンスにパブリック IP アドレスが割り当てられている場合、インターネットからの直接アクセスを防ぐことはできません。