Подскажите плиз, как проще разрешить на клиентском порту только один (указанный) mac ?

Можно вот так http://www.dlink.ru/technical/faq_hub_switch_33.php Здесь приведён пример для серии DES-32XX но общая логика вполне понятна. Можно при помощи ACL Ethernet type. Первым профилем и правилом разрешаете определённый MAC-адрес, вторым профилем и правилом запрещаете все остальные.

По поводу первого способа я так понял это
config port_security ports 15 admin_state enable max_learning_addr 1 lock_address_mode Permanent

Верно?

А вот про acl хотелось бы поподробнее:

# ACL

create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF profile_id 10
config access_profile profile_id 10 add access_id 1 ethernet source_mac 00-13-D4-7C-E4-E3 port 15 permit

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 20
config access_profile profile_id 20 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 15 deny


Что я делаю не так?

create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF profile_id 10
config access_profile profile_id 10 add access_id 1 ethernet source_mac 00-13-D4-7C-E4-E3 port 15 permit
config access_profile profile_id 10 add access_id 2 ethernet source_mac ff-ff-ff-ff-ff-ff port 15 deny

наверное, так будет жизнеспособнее.

Немножко в тему.
А как запретить только одному MAC на порту, а всем разрешить?
То есть политика reject.

так вы ничего кроме бродкастов не запретите. Надо отдельный профиль для запрещения.

и если я не ошибаюсь приоритеты на выполнение не распространяются в переделах одного профиля.

To lepsus:

По поводу первого способа нужно прописать запись в статическую таблицу MAC-адресов на этом порту командой create fdb ... Потом включить Port Security вот так config port_security ports 15 admin_state enable max_learning_addr 0 lock_address_mode Permanent.

По поводу ACL а у вас при такой настройке не работает? По настройке всё правильно.

To dnvk:

Неправильно. Вы запрещаете вторым правилом только Broadcast.

To zulu_radist:

create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF profile_id 10
config access_profile profile_id 10 add access_id 1 ethernet source_mac 00-13-D4-7C-E4-E3 port 15 deny

To NoFX:

Немного не понял последней фразы. Профили и правила проверяются строго в соответствии с их номерами.

ну значит, сорь, ошибся)

в любом случае одним профилем невозможно разрешить один (несколько) маков и запретить все остальные.

Именно так.