<authentication+mode="Forms">+是应用级别的...在子目录下用+<authorization>节来控制访问的解决方法

 即在子目录下的web.config:
 <system.web>
  <authorization>
  <deny users="?"/>
  </authorization>
  </system.web>

根目录下的web.config:

<authentication mode="Forms">
  <forms loginUrl="~/admin/login.aspx" name="login"  />
 
  </authentication>
  <authorization>

  <allow users="*" />
  </authorization>