Я думаю, что единственная проблема с максимальным одновременным доступом в IIS заключается в том, что он может блокировать запросы страниц, а не только запросы загрузки.
Я бы сказал, напишите обработчик HTTP, который фактически выполняет загрузку и затем может решить (на основе IP или cookie), разрешено ли отправка загрузки обратно в браузер. Довольно простой код, я думаю.