Usa le session...

se un utente è già attivato con quella username e password, non si può loggarne un altro con lo stesso username e password

Sotto questo punto di vista hai ragione...

io farei in questo modo:
creerei una tabella (contatore, Session, UserName,Password)
nel file global ASA sezione Session_OnStart memorizzo la session dell'utente nel database appena entra, in questo modo posso risalire in qualsiasi momento all' ID session dell'utente...

quando si logga, quindi immette la sua UserID e Password, controllo se in questa tabella già esiste una ueser name e password memorizzata, se non c'è allora la registro richiamando la session dell'utente , in questo momento la tabella ha tutti e quattro i campi inseriti....

ora veniamo alla cancellazione della sessione quando un utente esegue un LOGOUT o finisce la sessione (in pratica è uscito dal nostro sito)

se creiamo una sezione del sito in cui c'è una opzione di LOGOUT allora richiamo la session dell'utente e la cancello fisicamente dalla tabella...

se invece l'utente se ne va dal nostro sito senza effettuare il logout allora possiamo intervenire nel file GLOBAL.ASA nella sezione Session_OnEnd richiamando la session dell'utente e cancellarlo dalla tabella...

in questo modo, cioè utilizzando una tabella, hai un doppio vantaggio quello di avere un controllo capillare sugli utenti che entrano sia se si loggano si che non si loggano... e in più sai quanti utenti sono presenti nel sito in tempo reale, potendo scindere anche tra utenti loggati e utenti non loggati... un esempio pratico lo trovi proprio quì in aspitalia;
c'è la sezione LOGOUT e se vai in basso a destra c'è un link con CHI E ONLINE .... cliccaci e guarda...

ciao

Usa variabili di applicazione, in particolare ti consiglio un oggetto Dictionary a livello di applicazione la cui chiave è lo userID dell'utente e il valore può essere l'indirizzo IP dell'host remoto dal quale l'utente si è connesso.
Nel Session_onStart controllerai se già esiste quella entry nell'oggetto (se non esiste la inserirai), all'evento Session_onEnd dovrai ripulire l'oggetto da quell'utente.

Grazie mille ;-)

A buon rendere...spero ;-)))

francesco