можно ли к клиентам, подключённым в порты с 1 по 24 свитча 3526, запретить прохождение через 25 и 26 порты пакетов из всех сеток кроме 10.2.Х.Х/16?
какие ACL надо создать для этого?

Да можно. Причём это надо делать на пользовательских портах при помощи ACL IP type. Сначала разрешаете на портах 1-24 нужную подсеть, потом запрещаете всё остальное

если не трудно, можно это всё в командах?
а почему нельзя сделать блокировку только на 25 и 26 портах? плюс настроить трафик сегментатион?
и ещё.. если все клиенты работают через шлюз 10.2.X.Y, может быть сразу можно заблокировать доступ ко всем другим IP адресам? Клиентам естественно не нужно видеть друг друга напрямую.. Если возможно, то команды тоже бы очень помогли..
спасибо.

Настроить ACL на магистральных портах в вашем случае не выйдет так как они действуют только на входящий трафик. Мой совет Traffic segmentation + ACL на пользовательских портах. Я думаю с Traffic segmentation разберётесь, а ACL в вашем случае такие:
create access_profile ip source_ip_mask 255.255.0.0 profile_id 1
config access_profile profile_id 1 add access_id 1 ip source_ip 10.2.0.0 port 1-24 permit
create access_profile ip source_ip_mask 0.0.0.0 profile_id 2
config access_profile profile_id 2 add access_id 2 ip source_ip 0.0.0.0 port 1-24 deny

спасибо, буду пробовать.
а в какова последовательность проверки прохода пакета через ACL? если я запрещаю весь не IP и ARP траффик:
create access_profile ethernet ethernet_type profile_id 10
config access_profile profile_id 10 add access_id 1 ethernet ethernet_type 0x800 port 18 permit
config access_profile profile_id 10 add access_id 4 ethernet ethernet_type 0x806 port 18 permit
create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 11
config access_profile profile_id 11 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 18 deny,
то проверку сети надо поместить до или после этого?
т.е. мне требуется, чтобы пакет, попадая в порт, сначала проверялся по ethernet_type, если не IP/ARP, тогда убивался, иначе - дальше проверялся бы на соответствие сети 10.2.Х.Х и либо проходил, либо убивался..
не получится ли так, что проходя проверку на IP/ARP пакет сразу будет проходить дальше (без проверки на соответствие сети)?

Расположите его перед последним ACL Ethernet type на запрещение всех MAC-адресов

На порту весит несколько сеток. Нужно одним сетям разрешить трафик, другим запретить, ну а третим оставить только пинги


Ну и вот проблема что неполучается оставить третим только пинги.
Как это лучше релиазовать?

В этом случае с этой подсети разрешён весь трафик, я так понимаю или что не получается?