IIS 身份验证
ASP.NET 身份验证分为两个步骤。首先，Internet 信息服务 (IIS) 对用户进行身份验证，并创建一个 Windows 令牌来表示该用户。IIS 通过查看 IIS 元数据库设置，确定应该对特定应用程序使用的身份验证模式。如果 IIS 配置为使用匿名身份验证，则为 IUSR_MACHINE 帐户生成一个令牌并用它表示匿名用户。然后，IIS 将该令牌传递给 ASP.NET。
其次，ASP.NET 执行自己的身份验证。所使用的身份验证方法由 authentication 元素的 mode 属性指定。以下身份验证配置指定 ASP.NET 使用 FormsAuthenticationModule 类：
<authentication mode="Forms" />
注 由于窗体身份验证不依赖于 IIS 身份验证，因此如果要在 ASP.NET 应用程序中使用窗体身份验证，则应该在 IIS 中为应用程序配置匿名访问。
forms 验证
ASP.NET 窗体身份验证在 IIS 身份验证完成后发生。可以使用 forms 元素配置窗体身份验证。
创建身份验证 Cookie
通过 FormsAuthentication 类创建身份验证 Cookie，如下所示。用户经过验证后，FormsAuthentication 类在内部创建一个 FormsAuthenticationTicket 对象，方法是指定 Cookie 名、Cookie 版本、目录路径、Cookie 颁发日期；Cookie 到期日期、是否应该保留 Cookie，以及用户定义的数据（可选）。
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1,
"userName",
DateTime.Now,
DateTime.Now.AddMinutes(30), // value of time out property
false, // Value of IsPersistent property
String.Empty,
FormsAuthentication.FormsCookiePath);
接下来，如果 forms 元素的 protection 属性设置为 All 或 Encryption，则窗体身份验证使用 Encrypt 方法对窗体身份验证票进行加密和签名。
string encryptedTicket = FormsAuthentication.Encrypt(ticket);
参考
http://www.cnblogs.com/winnerzone/archive/2007/06/29/800225.html