Juniper MX + IX + SynFlood

Про дропы по мак-адресам по-моему совершенно правильно критикуют.
У меня ничего проще не получалось в такой ситуации, чем включить loose rpf на аплинках, и с анализатора netflow/ipfix анонсировать на бордер source-адреса флуда в комьюнити с локальным блэкхолом.