Por que não configurar um site vinculado ao IP do servidor usando a Autenticação Básica e um segundo site vinculado apenas ao 127.0.0.1 configurado para usar a Autenticação Anônima e apontando para os mesmos diretórios de conteúdo? Dessa forma, os usuários que acessam o site de fora da caixa são solicitados, pois eles estão acessando o site usando as solicitações básicas e locais que acessam o site no endereço de loopback usando o Anonymous?