>Я ж просил аналоги вполне конкретных вещей: "scrub" и "modulate state". И
>где они там?

Вобщем-то, правильно сказали выше.
Некорректно требовать именно "аналога вот этой фишки". Нужно рассматривать проблему,
которая решается (или пытается быть решенной) этой фишкой - и уж сравнивать аналоги схем решения.

scrub:
А аналоги проверки валидности TCP пакета и его пересборка в iptables есть:
-m state --state INVALID -j DROP           - неправильные TCP флаги идут фтопку

а пересборка и так производится коннтреком. Нужно просто загрузить его модуль (или же он собран статикой) и все. Даже никаких правил не надо :)

modulate state:
iptables таким не занимается, в нем такого нет. И проблему нужно решать на корню: в ОСе, которая генерит плохие TCP seq ids.