メインコンテンツまでスキップ

付録 A. TCP SYN Cookies との比較

本付録では TCP Fast Open (TFO) と TCP SYN Cookies の 2 つのメカニズムを詳しく比較し、それぞれの異なる目標と適用シナリオを理解するのに役立てます。

A.1. 概要 (Overview)​

TFO と SYN Cookies はどちらも「Cookie」の概念を使用していますが、まったく異なる目的に使用されます。

TFO (TCP Fast Open):
目標：接続遅延を削減し、パフォーマンスを向上
メカニズム：事前に割り当てられた Cookie、SYN データを許可
状態：ステートフル（Cookie をキャッシュ）

SYN Cookies:
目標：SYN Flood 攻撃を防御し、サーバーを保護
メカニズム：ステートレスな応答、ISN に情報をエンコード
状態：ステートレス（SYN-RECEIVED 状態を保存しない）

A.2. 機能特性の比較 (Feature Comparison)​

特性TFOSYN Cookies説明
主な目標パフォーマンス最適化セキュリティ保護設計の意図が異なる
SYN データ転送✓ サポート✗ 非サポートTFO のコア機能
状態タイプステートフルステートレスSYN Cookies のステートレス性が鍵
接続遅延1 RTT 削減標準 3-wayTFO のパフォーマンス優位性
サーバーリソース通常消費極低消費SYN Cookies がリソースを節約
TCP オプション保持完全保持MSS のみSYN Cookies の制限
Cookie 有効期間時間〜日分TFO Cookie は永続化
攻撃防護中程度非常に強力SYN Cookies は防御専用設計

A.3. 共存と協力 (Coexistence and Cooperation)​

TFO と SYN Cookies は共存できます。

推奨設定：

通常時：
  ├─ TFO：有効（パフォーマンス最適化）
  └─ SYN Cookies：有効だが非アクティブ（バックアップ）

軽度の攻撃：
  ├─ TFO：継続動作（レート制限あり）
  └─ SYN Cookies：一部の接続で有効化

重度の攻撃：
  ├─ TFO：無効化または厳格に制限
  └─ SYN Cookies：完全に有効化（主要な防護）

攻撃終了後：
  ├─ SYN Cookies：段階的に退出
  └─ TFO：再有効化

A.4. 総括 (Summary)​

TFO と SYN Cookies は競合関係ではなく、補完関係にあります。

TFO：
   「速いものをさらに速く」— 通常の状況でパフォーマンスを最適化

SYN Cookies：
   「遅くても使える」— 攻撃時でも可用性を維持

理想的な展開：
   両方を同時に有効化し、ネットワーク状況に応じて動的に切り替え
に最終更新