Вы создаете правило исходящего трафика (egress firewall rule), которое разрешает TCP-соединения с вашей ВМ на внешние хосты. Нужно ли также создавать правило входящего трафика (ingress rule), чтобы разрешить ответные пакеты от этих внешних хостов?

Межсетевой экран Google Cloud является stateful (с отслеживанием состояния). Это означает, что он автоматически отслеживает установленные соединения. Когда вы создаете правило исходящего трафика, разрешающее TCP-соединения с внешними хостами, межсетевой экран запоминает эти соединения. Ответные пакеты от внешних хостов, относящиеся к уже установленным исходящим соединениям, будут автоматически разрешены без необходимости создания отдельного правила входящего трафика. Вариант "Да — вы должны создать отдельное правило входящего трафика для установленного/связанного трафика" неверен, так как stateful-поведение межсетевого экрана устраняет эту необходимость. Вариант "Да — для ответов требуется запись маршрута VPC в дополнение к правилу входящего трафика" также неверен; маршруты VPC определяют путь трафика, но не управляют его разрешением на уровне межсетевого экрана для установленных соединений. Вариант "Нет — но вы должны включить пересылку IP-пакетов (IP forwarding) на ВМ для получения ответов" неверен, так как IP forwarding не требуется для обычного ответного трафика к ВМ.