Você cria uma regra de firewall de saída (egress) que permite conexões TCP da sua VM para hosts externos. Você também precisa criar uma regra de entrada (ingress) para permitir os pacotes de resposta desses hosts externos?

O firewall do Google Cloud é stateful, o que significa que ele rastreia o estado das conexões de rede. Quando uma regra de saída permite uma conexão TCP da sua VM para um host externo, o firewall automaticamente permite o tráfego de retorno (respostas) para essa conexão estabelecida, sem a necessidade de uma regra de entrada explícita. As outras opções estão incorretas porque: "Sim — você deve criar uma regra de entrada separada para tráfego estabelecido/relacionado" está errado, pois o firewall stateful cuida disso. "Sim — as respostas exigem uma entrada de rota VPC além da regra de entrada" está errado, pois rotas VPC e regras de firewall são conceitos distintos, e uma regra de entrada para tráfego estabelecido não é necessária. "Não — mas você deve habilitar o encaminhamento de IP na VM para receber respostas" está errado, pois o encaminhamento de IP é para VMs que atuam como roteadores ou gateways, não para permitir respostas a conexões de saída.