Há uma diferença entre as conexões de entrada e saída. A "direção" de uma conexão é a direção do pacote inicial nessa conexão - as respostas a essa conexão são consideradas parte da mesma conexão, não uma diferente.
Para saída, o roteador sabe que a conexão foi iniciada por um computador interno específico e encaminha as partes de resposta dessa conexão de volta para o originador.
Para a entrada, você configurou o roteador para encaminhar cada conexão ao seu computador interno. O roteador também conhece essas conexões e envia as respostas de volta de onde elas vieram.