SYN cookie
Защита от SYN-флуда: вместо выделения буфера под каждый SYN вся необходимая информация о рукопожатии кодируется в «магический» порядковый номер (cookie), возвращаемый в SYN+ACK. Пока клиент не ответит, ядро не хранит никакого состояния.
Автор — Дэниел Бернстайн (Daniel J. Bernstein), 1996 год. В Linux включается через net.ipv4.tcp_syncookies = 1 и срабатывает автоматически при высокой частоте SYN. Cookie — это SHA1 от адресов и портов, индекса MSS и времени. Когда клиент отвечает ACK, cookie проверяется и только потом выделяется состояние. Плата: теряются опции TCP (timestamp, SACK, масштабирование окна) — режим деградации. Стопроцентной защиты от DDoS это не даёт: проверка cookie всё равно стоит CPU. Дополнение — защита на границе сети (Cloudflare, AWS Shield).