VM から外部ホストへの TCP 接続を許可する egress ファイアウォールルールを作成します。これらの外部ホストからの応答パケットを許可するために、ingress ルールも作成する必要がありますか？

いいえ、個別の ingress ルールを作成する必要はありません。Google Cloud Firewall はステートフルなファイアウォールであるため、確立された接続の戻りトラフィック（応答パケット）は自動的に許可されます。これは、一度 egress ルールで送信を許可した接続に対して、その接続の戻りトラフィックをファイアウォールが追跡し、明示的な ingress ルールがなくても通過させるためです。 最初の選択肢は、ステートフルなファイアウォールの動作を誤解しています。3番目の選択肢は、VPC ルートエントリが応答パケットの許可に直接関係するという点で不正確です。4番目の選択肢は、IP 転送が応答の受信に必須であるという点で誤りです。IP 転送は、VM がパケットを転送する場合に必要であり、単に応答を受信する場合には必要ありません。