Si crea una regola firewall in uscita che consente le connessioni TCP dalla VM agli host esterni. È necessario creare anche una regola in entrata per consentire i pacchetti di risposta da tali host esterni?

No, non è necessario creare una regola in entrata separata. Il firewall di Google Cloud è stateful, il che significa che monitora lo stato delle connessioni attive. Una volta che una connessione TCP in uscita è stabilita, il firewall ricorda questa connessione e consente automaticamente il traffico di ritorno (risposte) per quella connessione, anche se non esiste una regola in entrata esplicita. Questo comportamento semplifica la gestione delle regole firewall. Creare una regola in entrata separata per il traffico stabilito/correlato è ridondante. Le risposte non richiedono una voce di route VPC aggiuntiva, poiché la route di ritorno è già implicita nella connessione stabilita. L'inoltro IP è per scenari di routing o NAT, non per il traffico di risposta standard.