Имеем DES-3326SR, прошивка 4.01-B39

Хотим, чтобы на магистральный порт, и только на него, не пропускались tcp пакеты с портом назначения 135 и 445. Но между остальными портами свича эти же пакеты спокойно ходили.

Такой вариантблокирует прохождение таких пакетов через свич вообще. Так?

А вот как привязать ACL к какому-то конкретному порту свича?

В более следующих моделях можно, а тут низя.
Можно попробовать выкрутиться отфильтровав по какому-либо иному критерию - vlan, ip итп

Ну хорошо, берем еще vlan.
Пусть магистральный порт - это default vlan, а остальные порты - это некий vlan2.
Без поднятия маршрутизации не получиться сделать так, чтобы пакеты из vlan2 проходили на магистральный порт в нетагированном виде?

Вы меня не поняли, я имел в виду что этот свитч не умеет в качестве критерия для фильтрации использовать номер порта. Однако, можно поразмыслить и найти ещё какой-то критерий, которому будут удовлетворять пакеты в магистральном порту. Необязательно для этого менять конфигурацию итд итп.
Т.е. например если у вас магистраль живёт в одном влане, а клиенты - в другом, то очевидно что нужно просто делать профиль фильтрации для магистрального влана.
А tag/untag-операции тут совершенно не причём.

Не, я так все и понял.

Но.

Если мы помещаем магистральный порт в отдельный влан, то возникает проблема передачи пакетов между вланами. Как я понял, без задействования L3 или внешнего маршрутизатора (который должен переваривать тагированные пакеты), это невозможно?

Еще один вариант "выделения" магистрального порта - фильтрафия по MAC-адресу шлюза (по IP не пойдет, т.к. тот самый msblast прет на самые различные адреса через шлюз). Но, как я понял, фильтровать одновременно на L2 и L3 тоже невозможно?

Я не предлагал помещать порт в отдельный влан, а лишь указал на один из вариантов поиска фильтра.
Как вариант навскидку например могу предложить иной вариант - разрешить сначала весь ip трафик в подсети, а потом зарезать весь netbios что не попал первое правило.

А касательно маршрутизации... ну тоже можно, конечно, тока я не понял зачем внешний роутер - у вас же DES-3[b]326SR - типа и так уже L3?