Куплю ACL правило которые:
1. разрешает ходить с порта №Х на интрнет шлюз IP=192.168.0.200
2. разрешает ходить с порта №Х на интрнет шлюз MAC=00-11-2f-d0-c0-5a
3. разрешает слать ARP запрос на получение DHCP
4. разрешает принимать DHCP
5. запрещает все остальное из остальной сети

create vlan XXX tag YYY ?
DHCP-запрос релеить на сервер свичом доступа.
остальное резать на выходе с vlan

скажу тебе по секрету, на основную - главную часть твоего вопроса ты себе сам ответил, ты уже составил себе блок схему, раз сам составил значит и подправить сможешь, береш мануал и вместо своих слов свичу вбиваешь команды

Вот мануала то по ACL найти не могу.

топаешь на ftp://dlink.ru/pub/Switch/DES-3526_3526DC/Description/ берешь файлик в названии которого есть CLI и читаешь раздел Access control list. И еще, ACL работают _только_на_входящий_ в порт траффик.

Вот как-то так:


Только если DHCP сервер не является шлюзом, то еще надо и на его МАК разрешающее правило добавить

Я так делал. Не фильтрует ничего.

Приведите ваши ACL, укажите порты, к которым подключен DHCP сервер и клиенты

create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 101
config access_profile profile_id 101 add access_id 1 ethernet destination_mac FF-FF-FF-FF-FF-FF port 2 permit
config access_profile profile_id 101 add access_id 2 ethernet destination_mac 00-11-2f-d0-c0-5a port 2 permit

create access_profile ethernet destination_mac 00-00-00-00-00-00 profile_id 102
config access_profile profile_id 102 add access_id 1 ethernet destination_mac 00-00-00-00-00-00 port 2 deny

укажите порты, к которым подключен DHCP сервер и клиенты

DHCP, он же шлюз к 25 через 5 таких же DES-3526.
Клиенты к медным портам. К 26 еще несколько таких же свитчей.

вот из конфига
# ACL

create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 101
config access_profile profile_id 101 add access_id 1 ethernet destination_mac FF-FF-FF-FF-FF-FF port 2 permit
config access_profile profile_id 101 add access_id 2 ethernet destination_mac 00-11-2F-D0-C0-5A port 2 permit

create access_profile ethernet destination_mac 00-00-00-00-00-00 profile_id 103
config access_profile profile_id 103 add access_id 1 ethernet destination_mac 00-00-00-00-00-00 port 2 deny

disable cpu_interface_filtering

# SNTP

disable sntp
config time_zone operator - hour 6 min 0
config sntp primary 0.0.0.0 secondary 0.0.0.0 poll-interval 720
config dst disable

# IPBIND
config address_binding ip_mac ports 1,3-5,7-11,13-22 state enable
enable address_binding acl_mode
enable address_binding trap_log
disable address_binding dhcp_snoop
create address_binding ip_mac ipaddress 192.168.0.31 mac_address 00-16-17-F1-1C-DE ports 2 mode acl
create address_binding ip_mac ipaddress 192.168.0.62 mac_address 00-04-61-99-25-95 ports 3 mode acl
create address_binding ip_mac ipaddress 192.168.0.69 mac_address 00-E0-4C-D3-25-5C ports 4 mode acl
create address_binding ip_mac ipaddress 192.168.0.73 mac_address 4C-00-10-A2-88-C1 ports 9 mode acl
create address_binding ip_mac ipaddress 192.168.0.74 mac_address 00-03-0D-43-0F-0F ports 1-26 mode acl
create address_binding ip_mac ipaddress 192.168.0.76 mac_address 4C-00-10-74-5F-54 ports 14 mode acl
create address_binding ip_mac ipaddress 192.168.0.84 mac_address 00-1A-6B-91-1C-1E ports 2 mode acl
create address_binding ip_mac ipaddress 192.168.0.85 mac_address 00-80-48-49-96-6F ports 6 mode acl
create address_binding ip_mac ipaddress 192.168.0.91 mac_address 4C-00-10-A2-73-80 ports 1 mode acl
create address_binding ip_mac ipaddress 192.168.0.98 mac_address 00-1A-92-50-1D-4E ports 10 mode acl
create address_binding ip_mac ipaddress 192.168.0.135 mac_address 00-13-02-15-32-D5 ports 2 mode acl
create address_binding ip_mac ipaddress 192.168.0.163 mac_address 00-19-DB-F7-25-2A ports 11 mode acl
create address_binding ip_mac ipaddress 192.168.0.166 mac_address 00-13-77-4A-69-96 ports 4 mode acl
create address_binding ip_mac ipaddress 192.168.0.168 mac_address 00-80-48-19-31-F7 ports 5 mode acl
create address_binding ip_mac ipaddress 192.168.0.172 mac_address 00-19-B9-50-CF-1D ports 6 mode acl
create address_binding ip_mac ipaddress 192.168.0.178 mac_address 00-1E-EC-1E-C2-5C ports 13 mode acl
create address_binding ip_mac ipaddress 192.168.0.200 mac_address 00-11-2F-D0-C0-5A ports 21 mode acl
create address_binding ip_mac ipaddress 192.168.0.215 mac_address 00-22-15-61-5A-55 ports 3 mode acl
create address_binding ip_mac ipaddress 192.168.0.243 mac_address 00-16-D4-4E-C5-96 ports 5 mode acl
create address_binding ip_mac ipaddress 192.168.0.244 mac_address 00-0F-EA-5F-54-06 ports 16 mode acl
create address_binding ip_mac ipaddress 192.168.2.11 mac_address 00-21-91-20-FD-5D ports 8 mode acl
create address_binding ip_mac ipaddress 192.168.3.14 mac_address 00-1E-58-9D-98-19 ports 16 mode acl
create address_binding ip_mac ipaddress 192.168.3.15 mac_address 00-0F-EA-5F-54-06 ports 16 mode acl
create address_binding ip_mac ipaddress 192.168.3.17 mac_address 00-21-91-20-FD-5D ports 8 mode acl
create address_binding ip_mac ipaddress 192.168.3.18 mac_address 00-1E-58-B1-C1-54 ports 8 mode acl
create address_binding ip_mac ipaddress 192.168.100.20 mac_address 00-16-EC-2B-A9-DE ports 7 mode acl
config address_binding dhcp_snoop max_entry ports 1-26 limit 5


# FILTER
config filter dhcp_server ports 1-24 state enable

Это значит, что пакеты от клиента смогут иметь Destination IP только адрес шлюза, а как они инет то будут получать? запросы на тот-же яндекс будут иметь Destination IP отличный, от 192.168.0.200

Косяки:
config address_binding ip_mac ports 1,3-5,7-11,13-22 state enable
create address_binding ip_mac ipaddress 192.168.0.31 mac_address 00-16-17-F1-1C-DE ports 2 mode acl
create address_binding ip_mac ipaddress 192.168.0.85 mac_address 00-80-48-49-96-6F ports 6 mode acl

И в чем косяки? В том что прописал mac-ip bindeing на 2,8,16 и потом отключил их проверку за ненадобностью?

2 Akor > 3 и 4 пункты можно решить с помощью IMPB, в остальном, Вам нужно определить что Вы конкретно хотите блокировать. Тогда я смогу Вам помочь с созданием ACL правил.

_________________
С уважением,
Бигаров Руслан.