オンプレミスからCloud VPN経由でVPCにアクセスしている。特定のサブネットへのアクセスのみを許可し、他のサブネットへのアクセスをブロックしたい。どこで制御すべきか。

ステートフルなワークロードのために、VMインスタンスを再作成してもデータが残るように、ブートディスクとは別のデータ用ディスクを使用している。インスタンス削除時にこのディスクが誤って削除されないように設定するにはどうすればよいか。