...e comunque non ho capito perche' alla richiesta dell'url del web service ti fa vedere quell'XML con le <collection>.

fai una prova, cambia temporaneamente il web.config ESTERNO cosi':

codice:
<system.web> (SENZA SPAZIO DOPO LA B)
  <authentication mode="Forms">
  <forms  loginUrl ="Login.aspx" timeout="2880"/>


  <authorization> (Sposta questa direttiva "authorization" dal web.config interno a quello esterno)
    <deny users="?" />
  </authorization>
</system.web>

e sposta temporaneamente la pagina Login.aspx nella root, dove c'e' la Default.aspx per intenderci.
Come si comporta ?