Vedi se cosi' funziona (è un altro web.config nella cartella con accesso vietato):

codice:
<system.web>
      <authentication mode="Forms">
         <forms name="nome" loginUrl="/paginaLogin.aspx"/>
      </authentication>
      <authorization>
         <deny users="?"/>
      </authorization>
</system.web>
Osserva anche questa guida: http://aspnet.html.it/guide/lezione/...utenticazione/ (c'e' un paragrafo dal titolo: "Listato 43. Modificare il nome della pagina di login in Web.Config")