Δεν είναι ακριβώς έτσι... 
Μέσα στο web.config μπορείς να ορίσεις πως θα έχουν πρόσβαση στις σελίδες σου οι χρήστες. Αυτό μπορεί να γίνει σε επίπεδο σελίδας ή σε επίπεδο φακέλου. Αν θεωρήσουμε ότι θες οι χρήστες που ανήκουν στην ομάδα Administrators να έχουν πρόσβαση στο site σου, θα πρέπει να βάλεις μέσα στο web.config σου:
<system.web>
<authorization>
<allow roles="Administrators"/>
<deny users="*" />
</authorization>
</system.web>
Όταν κάποιος έρχεται για πρώτη φορά στο site, και δεν έχει logάρει στο παρελθόν, αυτόματα το ASP.NET θα τον οδηγήσει στην σελίδα login.aspx, όπου θα πρέπει να έχεις φτιάξει και να έχεις προσθέσει τον login web control. Εννοείται ότι θα έχεις ενεργοποιήσει το internet security, θα έχεις φτιάξει χρήστες για το site και να έχεις ενεργοποιήσεις τους ρόλους και θα έχεις βάλει χρήστες σε ρόλους, μέσα από το site options του Visual Studio.
Αφού η σελίδα login.aspx κάνει authenticate το χρήστη που θέλει να δει το site, και αν έχει τα απαραίτητο autharization - ανήκει στην ομάδα των administrators - θα προχωρήσει για να δει το site...
George J.