アクセス制限

Webシステムを作るときに常に必要となるアクセス制限の方法が分からずに困っていたりする。
一般にWebシステムを作るとき、一般に公開する部分と公開しない部分(マスタメンテナンスなど)があると思う。一般公開する部分はインターネットのどこからでもアクセス可能にするだろうし、非公開の部分はイントラネット内からのみアクセス可能にすべきと考えた。http://host/sample/ がWebアプリケーションのルートとする。その場合、

• http://host/sample/public/ ・・・ どこからでもアクセス可能
• http://host/sample/private/ ・・・ イントラネット内のみアクセス可能

のように制限したいのは普通だと思う。
Tomcat の Valve だとパスによってアクセス制限を変えることができなさそうに見える。ごくごくあたりまえのこと(だよね？)をやりたいだけなんだけど、方法が分からない。。。
どなたか教えてくだされ。
公開用とイントラネット用のアプリケーションを分ければValveタグでできそうなのは分かるけど、普通は分けたりしないんじゃないかと思うが、どうなんだろう？