Una empresa ha desarrollado un firewall de capa 7 que toma sus decisiones dentro del núcleo de Linux mediante eBPF, en lugar de hacerlo en un proxy de espacio de usuario como ocurre en la mayoría de soluciones comerciales. La política se escribe como una aplicación JavaScript que se compila en estructuras consumidas por un programa del núcleo, lo que permite cambiar reglas con un simple git push, sin recompilar, redesplegar ni reiniciar.
El sistema se engancha en XDP, el hook de eBPF del driver de la tarjeta de red, antes de que el núcleo asigne un búfer de socket. Esto le permite rechazar paquetes al menor coste posible en Linux, sin atravesar la pila de red. Para sortear las limitaciones del verificador de eBPF, que rechaza bucles no acotables, los autores compilaron todas las cadenas de User-Agent en un único autómata de Aho-Corasick: un DFA que recorre la cabecera byte a byte y reporta coincidencias en una sola pasada, lineal con el tamaño de la cabecera e independiente del número de patrones.
En las pruebas internas, un único núcleo ejecuta alrededor de 5 millones de decisiones sobre cabeceras HTTP/2 por segundo. El p50 se sitúa por debajo de 200 nanosegundos y el p95 en unos 775 nanosegundos, una latencia comparable a dos lecturas de DRAM e inferior a una llamada al sistema. El uso principal que destaca la compañía es el bloqueo de rastreadores y agentes (GPTBot, ClaudeBot, PerplexityBot, curl) por User-Agent sobre hosts concretos. El autómata admite hoy unas 4.000 patrones con margen de crecimiento, y el sistema ya protege tráfico empresarial real.