Виртуальные машины в us-west1 и us-east1 не должны иметь публичных IP-адресов, но должны получать обновления из интернета. При маршрутизации по умолчанию, как разрешить исходящий доступ в интернет без назначения публичных IP-адресов?

Для обеспечения исходящего доступа в интернет без публичных IP-адресов виртуальных машин необходимо использовать Cloud NAT. Cloud NAT позволяет виртуальным машинам без внешних IP-адресов подключаться к интернету, переводя их внутренние IP-адреса в публичные IP-адреса, управляемые Cloud NAT. Поскольку Cloud NAT является региональным сервисом, его необходимо развернуть в каждом регионе (us-west1 и us-east1), где находятся виртуальные машины. Cloud Router требуется для динамической маршрутизации, но в данном сценарии с Cloud NAT он не является обязательным для обеспечения исходящего доступа, однако часто используется в связке для более сложных сетевых конфигураций. Создание единого глобального шлюза Cloud NAT невозможно, так как Cloud NAT является региональным сервисом. Изменение IP-адреса на Ephemeral предоставит виртуальным машинам публичные IP-адреса, что противоречит требованию. Правило брандмауэра разрешает трафик, но не предоставляет механизм для NAT, если у ВМ нет внешнего IP.