Измените Web.config
в корне приложения, чтобы прочитать:
<authentication mode="forms">
<forms loginUrl="Login.aspx" defaultUrl="/" />
</authentication>
<authorization>
<deny users="?" />
<allow users="*" />
</authorization>
Примечание . Очевидно, что ASP.NET может защищать только те запросы, которые передаются ядру ASP.NET. По умолчанию он не может обеспечить безопасность статических ресурсов в классическом режиме IIS. В этом случае для контроля доступа к статическим ресурсам они должны быть явно сопоставлены с DLL-библиотекой ASP.NET ISAPI в конфигурации IIS.
Подробнее об авторизации здесь: ASP.NET Authorization .