2017**版SRX全球优秀Firewall系列之六 Filter视频课程

Filter 到底卡在哪一步

很多人学 SRX 防火墙，路由、NAT 都能配通，一到 Filter 就犯迷糊：到底在哪个节点放行、哪个节点拒绝？安全策略和防火墙 Filter 是什么关系？为什么明明写了规则，流量还是不通？这门课就是冲着这些具体缺口来的。它不泛泛讲 SRX 是什么，而是把 Filter 这个主题拆开，从命名、匹配条件、动作到应用位置，一条条对到实际排障里。你会看到同样的流量，在入方向、出方向、转发方向分别怎么处理，以及哪些坑是配置时最容易踩的。

适合什么基础？建议你至少已经能完成 SRX 的基础接口、地址和路由配置，知道 security policy 的大致结构。如果连 zone 和 interface 都没碰过，直接看 Filter 会非常吃力。反过来，如果你已经会写几条安全策略，但遇到需要按源地址、目的地址、协议端口做更细粒度控制时卡住，这门课正好补上这一环。

先看哪几块，别从头硬啃

课程总时长两个多小时，不用一上来就逐分钟看。建议你先跳着看 Filter 的匹配条件部分，搞清楚 match 语句里能写什么：源地址、目的地址、协议、端口，还有更复杂的应用识别。这部分是后面所有规则的地基。接着看动作和默认行为，理解 accept、discard、reject 三者的区别，以及为什么 reject 在某些场景下比 discard 更容易排障。最后再回到整体流程，把 Filter 挂到接口或 zone 上，跟安全策略的先后顺序捋清楚。

看的时候别只听，手里要有个能敲的 SRX 环境。哪怕只是模拟器，也把课程里出现的每条过滤规则敲一遍，然后故意改错一个条件，看看日志里怎么报。这样比单纯看视频有效得多。

学完能独立做什么

学完这一块，你应该能独立完成这些事：根据业务需求写出一组清晰的 Filter 规则，控制特定网段访问特定服务；把 Filter 正确应用到接口或 zone，并解释为什么放在这个位置；当流量不通时，通过查看日志和计数器判断是 Filter 丢弃还是安全策略拦截，而不是盲目删规则重来。更进一步，你能把 Filter 和 NAT、路由结合起来，处理像「内网访问外网但被源地址过滤」这类实际问题。

资料里配套的练习建议配合课程使用。每看完一段，就暂停视频，在设备上复现场景，然后自己设计一个变体问题：比如把源地址改成另一个网段，看看规则还能不能匹配。这样练完，Filter 就不再是纸上谈兵。最后提醒一点：SRX 的 Filter 命名和 Junos 语法非常严格，大小写、连字符都不能错，多敲几遍，形成肌肉记忆，比背十遍文档都管用。