Le serveur demandera un mot de passe aux utilisateurs, sauf s'ils proviennent d'une ip précise.
Pas de problème pour énoncer ces différentes règles séparément, la subtilité consiste à les combiner.

AuthUserFile /home/chemin_absolu_vers_mdpasse/.htpasswd
AuthType Basic
AuthName "identification"
Require valid-user 
#
Order Deny,Allow
Allow from 11.111.11.111
Deny from all 
#

Satisfy any

On a simplement rajouté la directive Satisfy any qui demande au visiteur de respecter au moins une des deux conditions énoncées plus haut.
Bien sûr les les conditions sont amendables: rajout de groupes, plusieurs ip, plage d'ip....