Intanto tutte le pagine protette devono essere asp e non html, altrimenti non puoi fare verifiche......

Nella pagina di verifica crei una variabile di sessione.

In tutte le pagine protette, proprio all'inizio, metti un controllo che la variabile di sessione sia <> ""

se è = "" allora response.redirect "pagina_di_allarme.asp"

dove dici "NON PUOI ENTRARE!!!"