Mechanizm uaktywnia się w momencie przepełnienia tabeli stanów pakietami SYN. Serwer zamiast ignorować kolejne próby nawiązania połączenia TCP (pakiety SYN), odpowiada klientom wysyłając pakiet SYN+ACK z odpowiednio wyliczonym ISN, nie zapisując tego faktu w przepełnionej tabeli stanów. Jeżeli serwer otrzyma pakiet ACK, szuka odpowiadającego mu połączenia w tabeli stanów. Jeżeli połączenie nie zostanie dopasowane, serwer sprawdza wiarygodność pakietu ACK na podstawie zawartego w nim numeru sekwencyjnego, w oparciu o sekretną funkcję i ostatnie wartości licznika t. W przypadku zgodności, w tabeli stanów tworzony jest wpis na podstawie wartości MSS wyliczonych z otrzymanego pakietu ACK. Połączenie TCP może być kontynuowane normalnie.
Wady W czasie ataku SYN flood, MSS musi być zakodowane przy pomocy trzech bitów. Serwer może więc proponować jedynie osiem różnych wartości MSS. Ponadto serwer musi odrzucać pakiety SYN zawierające opcje TCP. Uniemożliwia to wykorzystywania rozszerzeń protokołu TCP opisanych w RFC1323.