Palo Alto zone protection

最近客戶遇到一個問題：
某個zone之內的IP，包括PA上面的，無法從外部連線，
(ICMP、TCP...)，
但是可以從內部連到外部。
後來發現是把zone protection取消(選成none)
就可以從外部連線進來。