\chapter{Závěr}

Cílem této práce bylo nalézt nástroje a knihovny, pomocí nichž by bylo možné filtrovat síťový provoz na platformě Linux a to na běžně dostupném hardwaru. Práce se zaměřovala na vysokorychlostní transparentní filtraci, aby bylo možné propouštět určitý provoz až na 10Gbit/s síti bez zásahu do adresování dané sítě.
Po úvodu byly rozebrány různé pohledy na síťové filtry (firewally) -- jejich rozdělení a obvyklé umístění v~síti. Práce se přitom soustředila hlavně na transparentní síťovou packetovou filtraci. Dále byla v~krátkosti představena běžná metoda zpracování příchozího síťového provozu na Linuxu a uvedeny možnosti, jakým
způsobem lze dosáhnout vyšší výkonnosti v~této oblasti. Tato část také představila různé nástroje a knihovny, které lze na Linuxu k~filtraci (vysokorychlostního) síťového provozu využít. Následovalo samotné praktické testování vybraných nástrojů. Po popisu testovacího prostředí a testovacích metod, byly vybrané
nástroje v~testovacím prostředí nainstalovány a odzkoušeny jejich filtrovací možnosti a výkonnost. Testování proběhlo v několika fázích -- nejdříve při rychlosti do 1 Gbit/s, později přímo pro rychlost téměř 10 Gbit/s. Následně byly nástroje otestovány v~experimentální síti, kde byla vyzkoušena i~agregace síťových rozhraní.
Z~výsledků je zřejmé, že zatímco s~rychlostmi stovek Mbit/s si bez problémů poradí většina nástrojů (i standardní linuxové vybavení), pro filtraci na rychlosti kolem 10~Gbit/s je již potřeba software speciálně upravený pro tyto účely, který ovšem nemusí být tak funkčně vybavený jako standardní nástroje.

Osobně vidím v~této oblasti velký potenciál v~oblasti vývoje a inovací. Například PF\_RING sice nabízí aplikaci pro transparentní filtraci, ovšem jedná se spíše o~ukázku nebo prototyp než o~plnohodnotný firewall. Aby bylo možné přidat pravidlo, je potřeba přemostění zastavit a pustit s~upraveným parametrem. Firewally
běžně používají tabulku pravidel, kde je možné měnit pravidla za běhu. \texttt{netmap-ipfw} již tento přístup nabízí, ovšem k~dokonalosti má taktéž daleko. Ačkoliv utilita pro správu pravidel nabízí možnost pro přidávání pravidel pro hlídání stavu spojení, ve skutečnosti tato funkce nefunguje a při průchodu provozu se pravidla neaplikují.
Prostor pro vylepšení je také v~oblasti výkonu. Momentálně je filtrovací démon \texttt{kipfw} pouze jednovláknový a jednoprocesový. V~dnešní době, kdy jsou k~dispozici vícejádrové procesory, by jistě šlo například zpracování provozu na více rozhraních zparalelizovat a dosáhnout tak vyšší datové propustnosti.
