新华三M9K怎么放通IPIP协议啊

M9010 V7 R9153P39 放行 IPIP 隧道完整配置
基础知识点
IPIP 对应的四层协议号是 4，安全策略里用 protocol 4 匹配隧道外层 IP 报文。
M9000 安全策略默认所有跨域流量全部丢弃，必须单独放通协议 4。
一、完整 CLI 配置模板（替换你的安全域、源目的网段）
plaintext
system-view
# 进入IPv4安全策略视图
security-policy ip

# 创建规则放行IPIP外层隧道报文
rule 10 name Allow_IPIP
# 填写你的源安全域、目的安全域（如untrust→trust / trust→untrust / local→untrust）
source-zone untrust
destination-zone trust
# 源外层隧道IP段
source-ip 203.0.0.0 0.0.0.255
# 目的外层隧道IP段
destination-ip 113.0.0.0 0.0.0.255
# 关键：匹配IPIP协议（协议号4）
protocol 4
action pass
quit
二、双向互通场景（两端互发 IPIP，两条规则）
plaintext
security-policy ip
# 方向1：A端 → B端 IPIP
rule 10 name IPIP_AtoB
source-zone zoneA
destination-zone zoneB
source-ip 公网A段 掩码反
destination-ip 公网B段 掩码反
protocol 4
action pass

# 方向2：B端 → A端 IPIP
rule 11 name IPIP_BtoA
source-zone zoneB
destination-zone zoneA
source-ip 公网B段 掩码反
destination-ip 公网A段 掩码反
protocol 4
action pass
三、如果隧道报文需要防火墙本机处理（zone→local）
两端设备 IPIP 隧道终点是防火墙自身接口 IP，加 local 域规则：
plaintext
security-policy ip
rule 20 name IPIP_ToLocal
source-zone untrust
destination-zone local
destination-ip 防火墙公网IP 0
protocol 4
action pass
四、Web 界面配置路径
策略配置 → 安全策略 → IPv4 安全策略 → 新建规则
源安全域 / 目的安全域选择对应区域
源地址、目的地址填入隧道两端外层公网 IP
服务 / 协议 选择「自定义协议」，协议号填 4
动作：允许，保存并应用策略
五、常见排查命令
plaintext
# 查看安全策略是否匹配IPIP流量
display security-policy statistics rule name Allow_IPIP

# 抓包验证外层IPIP报文是否到达设备
diagnose packet capture interface GigabitEthernet 1/0/1 protocol 4
六、补充关键点
IPIP 是三层隧道协议，没有 TCP/UDP 端口，只能靠 protocol 4 匹配，不能填端口；
只放行外层隧道 IP 之间的协议 4 即可，隧道内部私网流量由内网策略控制；
若 RBM 双机场景，主备两台都要配置完全相同的 IPIP 放行安全策略；
若同时有 NAT，外层隧道 IP 建议做 no-nat，避免隧道封装异常。

策略协议里看看有没有这个协议