SYN cookie
Defensa contra la inundación SYN: en lugar de reservar un búfer para cada SYN, se codifican todos los datos necesarios del handshake en un número de secuencia mágico (la cookie) que se devuelve en el SYN+ACK. El kernel no guarda estado hasta que el cliente responde.
Daniel J. Bernstein, 1996. En Linux: net.ipv4.tcp_syncookies = 1, se activa automáticamente ante una tasa alta de SYN. Cookie = SHA1(ip origen, ip destino, puerto origen, puerto destino, índice de MSS, marca de tiempo). Cuando el cliente responde con ACK se verifica la cookie, y solo entonces se reserva estado. El coste: se pierden las opciones TCP (timestamp, SACK, window scaling), un modo de reserva. No es una protección del 100 % frente a un DDoS: verificar cookies sigue consumiendo CPU. Se complementa con protección DDoS en el borde (Cloudflare, AWS Shield).