DGS-3312SR+DEM-540 (FW v3-01B14)
DES-3226S+DES-332GS (FW v4-02B26)
Все это объединено в стек.

Хотел настроить ACL и для начала сделал вот так:

create access_profile ethernet ethernet_type profile_id 10
config access_profile profile_id 10 add access_id 1 ethernet ethernet_type 0x800 permit
config access_profile profile_id 10 add access_id 2 ethernet ethernet_type 0x806 permit

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 11
config access_profile profile_id 11 add access_id 1 ethernet source_mac 00-00-00-00-00-00 deny

Захотелось закрыть 25 и 110 порты вот таким образом:
create access_profile ip tcp dst_port_mask 0xFFFF profile_id 9
config access_profile profile_id 9 add access_id 1 ip tcp dst_port 25 deny
config access_profile profile_id 9 add access_id 2 ip tcp dst_port 110 deny

После команды:
create access_profile ip tcp dst_port_mask 0xFFFF profile_id 9
сеть умерла
После перезагрузки стека следов от 9-го правила не осталось
Эксперементировать что-то больше не хочется.
Подскажите как закрыть опрелеленные TCP порты на всех портах стека.

Что значит сеть умерла? Перестали ходить пакеты?
В вашем примере есть только одно запрещающее правило (profile_id 11 add access_id 1), очевидно оно вам и мешает. Что это правило по вашей задумке должно делать?
profile_id 9 здесь совершенно не при чем.

Да перестали ходить пакеты.
create access_profile ethernet ethernet_type profile_id 10
config access_profile profile_id 10 add access_id 1 ethernet ethernet_type 0x800 permit
config access_profile profile_id 10 add access_id 2 ethernet ethernet_type 0x806 permit
эти правила разрешают TCP и ARP

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 11
config access_profile profile_id 11 add access_id 1 ethernet source_mac 00-00-00-00-00-00 deny
это правило запрещает все остальное.
вот я и хотел перед разрешаюшими правилами поставить запрет на пакеты TCP с портами 25 и 110
Но после команды
create access_profile ip tcp dst_port_mask 0xFFFF profile_id 9
Перестали ходить пакеты

Правила 10 и 11 работают как и предпологалось

А вобщем то хотелось сделать вот как:
1 Запретить все протоколы кроме TCP и ARP
2 Запретить хождение пакетов TCP с портами 25 и 110

Глюк. Я его нашел, сейчас пробую найти способ решения.

ОК жду

Временный выход из глюка простой - создать профили по мере роста номера профиля, т.е. сперва 9, затем 10 и 11.
По крайней мере не падает, и фильтрует так, как вам нужно - оставляет только IP и ARP, запрещая все, включая 25 и 110 порты.

Спасибо попробую.

Да если очистить все правила и добавить профили заново то все работает. Правила в профили потом добавляются без проблем.