есть такие acl

create access_profile ip destination_ip_mask 255.255.255.255 profile_id 30
config access_profile profile_id 30 add access_id 1 ip destination_ip 192.168.0.9 port 26 permit
config access_profile profile_id 30 add access_id 2 ip destination_ip 192.168.0.1 port 26 permit
config access_profile profile_id 30 add access_id 3 ip destination_ip 192.168.0.4 port 26 permit
config access_profile profile_id 30 add access_id 4 ip destination_ip 192.168.0.8 port 26 permit

create access_profile ip source_ip_mask 255.255.255.255 profile_id 31
config access_profile profile_id 31 add access_id 1 ip source_ip 192.168.0.1 port 26 permit
config access_profile profile_id 31 add access_id 2 ip source_ip 192.168.0.4 port 26 permit
config access_profile profile_id 31 add access_id 4 ip source_ip 192.168.0.8 port 26 permit
config access_profile profile_id 31 add access_id 5 ip source_ip 192.168.0.9 port 26 permit

create access_profile ip source_ip_mask 0.0.0.0 destination_ip_mask 0.0.0.0 profile_id 50
config access_profile profile_id 50 add access_id 3 ip source_ip 0.0.0.0 destination_ip 0.0.0.0 port 26 deny

Соотвественно последнее правило перекрывает все ip не упомянутые в профилях 30, 31

Но очень бы хотелось пропускать с 25-го порта dhcp(192.168.0.1) трафик на порт 26 и только туда, как бы это можно было бы сделать?

порт 25 и 26 находятся в одном влане - default

У Вас за портом 26 какие из указанных хостов находятся?

только 192.168.0.9

и из неуказанных примерно 100 штук
в диапазоне 192.168.0.11-200

А указанными правилами что вы хотите сделать?

в принципе даже 192.168.0.9 можно с 26-го порта убрать

Правила 30-ого профиля как мне кажется надо применять на клиентские порты, а не на 26-ой.

а указанными правилами я хочу разрешить на порту 26 трафик только c/на адреса
192.168.0.1
192.168.0.4
192.168.0.8
192.168.0.9

и запретить весь остальной

ACL действуют только на входящий трафик по порту.

ладно пусть 30-го правила не будет, а как быть с dhcp

Только при помощи DHCP Relay, при этом порты должны быть в разных VLAN-ах с разными IP-интерфейсами. В ACL нет перенаправления на определённый порт.

спасибо,
вроде я уже нашел решение