Trabajando en una aplicación asp.net MVC code first, tenía una relación de muchos a muchos, no estoy seguro si esto causó el problema, pero al querer ejecutar una simple instrucción linq similar a esta:

return context.Estudiante
       .OrderBy(o => o.Nombre);

estaba obteniendo este error:

A circular reference was detected while serializing an object of type 'System.Data.Entity.DynamicProxies.Estudiante_CEA0F1…'.

Encontré la solución en este artículo, la cual consiste en establecer un valor en el constructor del DbContext.

Por default lo encuentras así:

public ApplicationDbContext()
 : base("DefaultConnection", throwIfV1Schema: false)
 {
 }

Y tienes que agregar la línea que va entre las llaves:

public ApplicationDbContext()
 : base("DefaultConnection", throwIfV1Schema: false)
 {
    this.Configuration.ProxyCreationEnabled = false;
 }

Y listo, ya con esto se elimina el error mencionado.

P.D. Si tu problema se debe a que estás tratando de regresar un JsonResult con el serializador que viene con ASP.NET, entonces te recomiendo que en vez de seguir la solución anterior, mejor utilices Json.Net. Puedes añadir la librería así:

using Newtonsoft.Json;

Y ver ejemplos aquí.

En aplicaciones Web Forms puedes utilizar web.config para proteger diferentes rutas a páginas o a carpetas de tu aplicación. Esto funciona bien porque estás protegiendo páginas, que a final de cuentas son archivos físicos y conoces la ruta exacta por medio de la cual la gente las visitará.

En ASP.NET MVC contamos con Controllers que pueden ser accedidos mediante diferentes rutas. Aunque todavía es posible proteger estas rutas con el archivo Web.config no se recomienda hacerlo porque es muy probable que pases por alto alguna de las diferentes formas en que se accede un controlador específico. Tarde o temprano cometerás algún error, dejando tu aplicación vulnerable.

La forma de proteger un controlador es mediante el atributo Authorize, por ejemplo:

[Authorize]
public class LocutorController : Controller
{
   // GET: Locutor
   public ActionResult Index()
   {
      return View();
   }
}

O bien, puedes proteger únicamente una acción:

public class LocutorController : Controller
{
   // GET: Locutor
   [Authorize]
   public ActionResult Index()
   {
      return View();
   }
}

Otra opción es permitir el acceso para ciertos usuarios o roles:

[Authorize(Users = "Juan, Pedro")]
public ActionResult Index()
{
   return View();
}

[Authorize(Roles = "Admin, Editor")]
public ActionResult IndexDos()
{
   return View();
}

Si tu aplicación es primordialmente de acceso público y solamente tienes que proteger unos cuantos controladores, esto funciona bien.

¿Pero que pasa si tu aplicación es completamente cerrada? ¿Por ejemplo un panel de control para administrar el seguimiento de clientes y cotizaciones? En ese caso tendrías que recordar escribir estos atributos en todos tus controladores, y cuando añadas uno nuevo meses después y olvides hacerlo, quedará desprotegido.

En este caso puedes usar la lógica contraria: Proteger todo excepto el inicio de sesión.

Para proteger todo, fíjate primero como en el archivo Global.asax de tu aplicación aparece FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);.

Vamos a agregar algo en la función RegisterGlobalFilters, para lo cual debes abrir el archivo FilterConfig.cs que aparece en la carpeta App_Start.

Añade AuthorizeAttribute usando la línea 4:

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
   filters.Add(new HandleErrorAttribute());
   filters.Add(new System.Web.Mvc.AuthorizeAttribute());
}

Esto protegerá todos tus controladores. Para abrir el acceso a algunos de ellos (en nuestro ejemplo únicamente los controladores de login) hazlo así:

[AllowAnonymous]
public ActionResult Login(string returnUrl)
{
   ViewBag.ReturnUrl = returnUrl;
   return View();
}

De hecho verás que cuando creas una aplicación con Visual Studio ya están añadidos estos atributos en las acciones Login y Register del controlador AccountController.

Ahora ya no es necesario utilizar [Authorize] en cada controlador o acción, todas están protegidas. Solamente tendrás que hacerlo para utilizar roles o usuarios como se describe arriba.