Ситуация такая, есть свич 3312ср, на одном из портов находится 5 вланов, которые маршрутизируют между собой сети
172.22.0.0/24, 172.22.1.0/24, 172.22.2.0/24, 172.22.3.0/24, 172.22.4.0/24, и все эти подсети маршрутизируются с дефолтным вланом на сеть(который включает все остальные порты) 172,21,0,0/16

Нужно создать правило, чтобы все эти вланы с маской 24, не видели друг друга, а видели только 172.21.0.0/16

А в чём сложность? Задаёте профиль и правила по source и destination IP. В качестве source mask задаёте 255.255.255.0 а destination mask 255.255.0.0. В качестве source IP указываете подряд все клиентские подсети (по очереди в каждом правиле), а в качестве destination IP в каждом правиле адрес 172.21.0.0. Естественно эти правила будут permit. После этого создаём ещё один профиль и одно правило в котором разрешаем обмен серверной группе между собой и с клиентами. Т.е. только по source IP 172.21.0.0. Правило тоже permit. И последний профиль и правило с нулевыми масками и нулевыми адресами позволит запретить весь остальной обмен. Оно будет deny.

спасибо, все отлично за настроилось!

Рад слышать!