Lorsqu'un utilisateur accède à une page d'un site pour la première fois, un cookie ASPSESSIONID - dont on peut connaître la valeur avec la propriété SessionId de l'objet Session - est créé et envoyé au client.
Ensuite, chaque fois que l'utilisateur appelle une page ASP, ce cookie est envoyé au serveur et ASP se charge de retrouver l'état de session qui y est rattaché dans sa base de données. Les variables créées et leur valeur ne sont donc pas stockées dans un cookie mais sur le serveur.
Faites l'expérience, si vous refusez tous les cookies, vous serez incapable d'utiliser les variables de session.
Pour affecter une variable de session :

<% Session("nom_variable") = valeur %>

Pour lire une variable de session :

<% valeur = Session("nom_variable") %>

Les variables ne sont pas destinées à contenir de grosses quantités de données. Chaque variable de session consomme des ressources sur le serveur. L'abus de variables de sessions peut conduire à l'asphyxie et au plantage d'un serveur.

Pour vider une varaible de session il faut utiliser la propriété Remove de l'object Contents :

Session.Contents.Remove("MaVariable")