Здравствуйте! Имеется свитч:
DGS-3610-26G version v10.3(5T16), Release(92751)
схема: vlan на пользователя (с supervlan)
задача: Заблокировать неплательщика, оставив доступ к некоторым ip-адресам, зная только его vlan

Конфиг (все лишнее выкинуто)

если применить expert access-list к IP-интерфейсу на Super-VLAN, (как и сделано выше в конфиге на int vlan 100),
то access-list "VLAN_100" блокирует пакеты с любым VID, независимо от того, что в нем прописано блокировать только VID = 300
Если же прописать тот же самый access-list на транковом порту с пользовательскими вланами, то все работает правильно, но создает различные неудобства (надо знать физический интерфейс и т.д.):

Если это действительно так и access-list неправильно отрабатывает при "навешивании" его на SVI, то пусть разработчики хотябы укажут это в мануале в "access-list configuration restrictons",
или можно надеяться, что в будущих прошивках эта возможность заработает ?

Уважаемый C@T.

Данный функционал не работает по 1 очень простой причине. Данный функционал не будет работать на оборудовании любого вендора и это не особенность и не ограничение, а штатное правило работы оборудования. Данное правило одинаковое для всех l3 коммутаторовю. И я не считаю, что базовые правила работы технологии, надо упоминать в документации...

На L3 интерфейсе НИКАКИХ VLAN МЕТОК НЕТ и быть, в силу функционала оборудования, не может. Метки VLAN - ЕСТЬ ТОЛЬКО НА ТРАНКОВЫХ ПОРТАХ (как Вы это успели понять опытным путем).
Поэтому блокировать метки на L3 интерфейсе - НЕЛЬЗЯ.

В будующих прошивках для данного оборудования,касаемо озвученного Вами функционала ничего не поменяется.

Большое спасибо что разъяснили Свитч настраивался и тестировался в спешке, поэтому об этом не подумали...