вот выдержка из мануала. в 3526 вроде можно совмещать ip правило с указанием vlan, неужели в 3100 нельзя?

create access_profile (for Ethernet)
profile_id <value 1-15> [ethernet {vlan | source_mac <macmask 000000000000-ffffffffffff> |destination_mac <macmask 000000000000-ffffffffffff> | 802.1p | ethernet_type}]

create access_profile (for IP)
profile_id <value 1-15> ip [ icmp { type | code } | igmp { type } | tcp { src_port_mask < hex 0x0-0xffff > | dst_port_msk <hex 0x0-0xffff> | flag_mask } | udp { src_port_mask < hex 0x0-0xffff > | dst_port_msk <hex 0x0-0xffff> } ] { source_ip_mask <netmask> | destination_ip_mask <netmask> | dscp }

config access_profile (for Ethernet)
profile_id <value 1-15> [add access_id [auto assign | <value 1-240>] [Ethernet {vlan <vlan_name 32> | source_mac <macaddr 000000000000-ffffffffffff> | destination_mac <macaddr 000000000000-ffffffffffff> | 802.1p <value 0-7> | ethernet_type <hex 0x0-0xffff>} ports <portlist> [permit {replace_priority <value 0-7> | replace_dscp <value 0-63> | rate_limit <value 64-1000000>} | deny]

config access_profile (for IP)
profile_id <value 1-15> [add access_id [auto assign | <value 1-240>] [ip {source_ip <ipaddr> | destination_ip <ipaddr> | dscp <value 0-63> | [icmp {type <value 0-255> code <value 0-255>} | igmp {type <value 0-255>} | tcp {src_port <value 0-65535> | dst_port <value 0-65535> | flag <flag 1-24>} | udp {src_port <value 0-65535> | dst_port <value 0-65535>}]} ports <portlist> [permit {replace_priority <value 0-7> | replace_dscp <value 0-63> | rate_limit <value 64-1000000>} | deny]

К сожалению в этой серии нельзя. Если брать по уровню то в своём классе DES-35XX более продвинутая серия.