SYN cookie
Obrona przed powodzią SYN: zamiast przydzielać bufor dla każdego SYN, koduje się wszystkie potrzebne dane handshake'u w magicznym numerze sekwencyjnym (cookie), odsyłanym w SYN+ACK. Jądro nie trzyma żadnego stanu, dopóki klient nie odpowie.
Daniel J. Bernstein, 1996. Linux: net.ipv4.tcp_syncookies = 1, włączane automatycznie przy dużej liczbie SYN. Cookie = SHA1(srcip, dstip, srcport, dstport, indeks MSS, znacznik czasu). Gdy klient odpowie ACK-iem, cookie jest weryfikowane, dopiero potem przydziela się stan. Kompromis: tracone są opcje TCP (znacznik czasu, SACK, skalowanie okna) — tryb awaryjny. Nie jest to stuprocentowa obrona przed DDoS — weryfikacja cookies wciąż kosztuje CPU. Uzupełnienie: ochrona DDoS na brzegu sieci (Cloudflare, AWS Shield).