Sie erstellen eine Egress-Firewall-Regel, die TCP-Verbindungen von Ihrer VM zu externen Hosts zulässt. Müssen Sie auch eine Ingress-Regel erstellen, um die Antwortpakete von diesen externen Hosts zuzulassen?

Die Google Cloud-Firewall ist zustandsbehaftet. Das bedeutet, dass sie den Zustand von Verbindungen verfolgt. Wenn Sie eine Egress-Regel erstellen, die ausgehende TCP-Verbindungen von Ihrer VM zu externen Hosts zulässt, merkt sich die Firewall diese Verbindung. Die Antwortpakete, die von den externen Hosts zurückkommen und zu dieser etablierten Verbindung gehören, werden automatisch zugelassen, ohne dass eine explizite Ingress-Regel erforderlich ist. Die Option "Ja – Sie müssen eine separate Ingress-Regel für etablierten/zugehörigen Datenverkehr erstellen" ist falsch, da dies die Zustandsbehaftung der Firewall ignorieren würde. Die Option "Ja – Antworten erfordern zusätzlich zur Ingress-Regel einen VPC-Routeneintrag" ist ebenfalls falsch, da Routen den Pfad des Datenverkehrs bestimmen, aber nicht die Firewall-Zulassung für etablierte Verbindungen. Die Option "Nein – aber Sie müssen die IP-Weiterleitung auf der VM aktivieren, um Antworten zu empfangen" ist irrelevant, da die IP-Weiterleitung für das Routing von Paketen zwischen Netzwerkschnittstellen auf der VM verwendet wird, nicht für die grundlegende Firewall-Funktionalität des Rückverkehrs.