Barrapunto

Los ataques DOS, al no necesitar una conexión completa, sólo un paquete SYN, no necesita una IP verídica, por tanto un usuario puede falsificar su IP pública con un router en monopuesto y enviar millones de paquetes SYN con IP's falsificadas.

Los SYN-ACK de vuelta irían al destinatario verdadero normalmente que al no saber de lo que habla o no responde o respondería con un RST (por ejemplo)

Hace mucho tiempo que los proveedores de Internet las implementaron. Se acabó hacer el spoofinf de la dirección origen. Una simple ACL que me tumbe (sin mandar ICMP) cualquier IP cuya dirección origen no sea la que tiene que venir por esa interfaz, y se acabó. Es más, creo que la mayoría de los proveedores desplegaron esa configuración hace bastantes años. Vamos, creo recordar que cuando todavía lo normal era acceder vía modem, los proveedores de Internet desplegaron esta medida.