Если вы используете Reflector для проверки System.Web.Security.AnonymousIdentificationModule, вы можете увидеть, что анонимный файл cookie только читается / записывается в PostAuthenticateRequest.
Итак, если вы подозреваете, что что-то не так, напишите простой HttpModule, который читает cookie во время AuthenticateRequest, и сравните его со значением, полученным в AuthorizeRequest.
Для получения дополнительной информации о жизненном цикле запроса см. Исследование Web.config - system.web / httpModules по-настоящему вашим.