A pergunta é meio confusa, mas vou tentar explicar o melhor possível.
Tenho um servidor apache2 rodando em linux (Raspbian Stretch Lite) com o php7.0 e os mods necessários.

No server tem alguns arquivos, vou listá-los da forma mais minimalista possível,

Esse é responsável pelo formulário:

**/index.php**

<!-- begin snippet: js hide: false console: true babel: false -->

<!-- language: lang-html -->

    <!DOCTYPE html>
    <html>
    <head>
      <meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
      <meta name='viewport' content='width=device-width, initial-scale=0.8, user-scalable=no' />
      <link rel="stylesheet" href="css/aut.css">
      <title>Autenticação</title>
    </head>

    <body>
    <?php
    session_start();
    $erro = $_SESSION['msg'];
    if (empty($erro)) {

    }
    else {
      echo "<script type='text/javascript'>alert('$erro');</script>";
      $_SESSION['msg'] = '';
    }
    ?>
    <div class="login-page">
      <div class="form">
        <form action="aut/resposta.php" method="post"class="login-form">
          <input type="text" name="user" placeholder="Usuário"/>
          <input type="password" name="senha" placeholder="Senha"/>
          <button type="submit">Entrar</button>
        </form>
      </div>
    </div>
    </body>
    </html>

<!-- end snippet -->

Esse é responsável pela validação do formulário e criação de uma variável de sessão caso o usuário e senha estejam corretos, essa variável vem de um arquivo dentro do servidor. Além de redirecionar o usuário.

**/aut/resposta.php**

<!-- begin snippet: js hide: false console: true babel: false -->

<!-- language: lang-html -->

    <html>
    <body>
    <?php
    session_start();
    if ($_POST["senha"] == "112233oi#" and $_POST["user"] == "Spineli") {

        $arquivo = "/prog/php/escalator/cripto/key.txt";
        $fp = fopen($arquivo, "r");
        $key = fread($fp, filesize($arquivo));
        fclose($fp);

    	$_SESSION['aut'] = $key;
    	header("Location: ../site.php");

    } else {
    	$msg = 'Usuário ou senha incorretos!';
    	$_SESSION['msg'] = $msg;
    	header("Location: /index.php");
    	
    }

    ?>
    </body>
    </html>

<!-- end snippet -->

E esse é o site para aonde o usuário é redirecionado

**site.php**

<!-- begin snippet: js hide: false console: true babel: false -->

<!-- language: lang-html -->

    <!DOCTYPE html>
    <html>
    <head>
    <title>Controle Remoto</title>
    <meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
    <meta name='viewport' content='width=device-width, initial-scale=1, user-scalable=no' />
    <link rel="stylesheet" href="css/site.css">
    </head>
    <body>
    <?php
    session_start();
    $login1 = $_SESSION['aut'];
    $erro = $_SESSION['msg'];

    $arquivo = "/prog/php/escalator/cripto/key.txt";
    $fp = fopen($arquivo, "r");
    $login2 = fread($fp, filesize($arquivo));
    fclose($fp);

    if ($login1 !== $login2 or empty($login1)) {
    	header("Location: index.php");
    }
    else {
    	$_SESSION['aut'] = '';
    }

    if (empty($erro)) {

    }
    else {
    	echo "<script type='text/javascript'>alert('$erro');</script>";
    	$_SESSION['msg'] = '';
    }
    ?>
    <div class="bonito">
      <div class="bembonito">
    	<div class="text1"><p>Controle Remoto</p></div>
    	<div class="text2"><p>Direção</p></div>
    	<a href="move/sobe.php" class="button4">Sobe</a>
    	<a href="move/desce.php" class="button4">Desce</a>
    	<div class="text2"><p>Bloqueio</p></div>
    	<a href="bloq/on.php" class="button4">Ligar</a>
    	<a href="bloq/off.php" class="button4">Desligar</a>
      </form>
    </div>
    </div>
    </body>
    </html>


<!-- end snippet -->

e então dentro de ***/move*** temos 2 arquivos o **sobe.php** **desce.php**, esses arquivos executam scripts para controlar reles, o código deles é bem parecido

<!-- begin snippet: js hide: false console: true babel: false -->

<!-- language: lang-html -->

    <?php
    session_start();
    $msg = 'Subindo ou Descendo!';
    $_SESSION['msg'] = $msg;
    shell_exec('/root/script.sh');
    ?>

<!-- end snippet -->

Um detalhe:

A variável _Session['msg'] é usada para exibir mensagens, seu funcionamento não interfere com o problema.

**O problema:**

Se alguém digitar 192.168.x.x/move/sobe.php ele passa pela segurança sem problema algum.

**Tentativas:**
Já tentei tudo que eu conhecia,


Tentei colocar php no onclick do botão, mas o php é executado antes de carregar o site, então ele executava a ação antes mesmo do usuário clicar no botão.

Também tentei usar um esquema de Session como fiz nas paginas resposta.php e site.php, mas o problema é que essa variável ficará aberta até que o usuário clique em um dos botões, e se ele nao clicar em nenhum, a variavel continua presente, assim, qualquer um pode acessar entrando em 192.168.x.x/move/sobe.php

Não sei o que fazer, estou disposto a fazer mudanças de todos os tipos sem limitações de linguagem e etc, só preciso que funcione no meu servidor.

Desde já agradeço.