Le pagine con estensione .aspx sono pagine gestite da ASP.NET quindi il codice che scrivi all'interno, come ad esempio una protezione di accesso, deve essere compatibile con le specifiche di questo linguaggio, abbastanza diverso da ASP 3.0 .

La soluzione a quello che chiedi dipende dal tuo scenario, potresi rendere accessibile la pagina .aspx come link (o redirect) da una pagina .asp e proteggere dall'accesso quest'ultima con i metodi classici che sei abituato a fare in ASP.

Per evitare l'accesso diretto alla pagina .aspx potresti controllare il referrer o una variabile in sessione/cache che andresti a settare nella tua pagina asp.

Per referrer volevo intendere la proprietà Urlreferrer dell'oggetto Request http://msdn.microsoft.com/en-us/library/system.web.httprequest.urlreferrer.aspx che corrisponde all'URI della pagina dalla quale si è passati per raggiungere una determinata pagina.

Nel tuo caso nella pagina .aspx potresti controllare che Urlreferrer sia uguale all'indirizzo della pagina .asp, in tal caso significa che l'utente è autorizzato a vedere .aspx perchè è autorizzato a vedere .asp.
Nel caso che Urlreferrer sia nullo o sia diverso dall'indirizzo della pagina .asp significa che l'utente ha digitato direttamente l'indirizzo di .aspx o che ha eseguito in link da una pagina non autorizzata, e quindi non può eccedere.