create access_profile                                        ip tcp dst_port_mask 0xffff profile_id 1
config access_profile profile_id 1 add access_id auto_assign ip tcp dst_port         135 port 1-26 deny
config access_profile profile_id 1 add access_id auto_assign ip tcp dst_port         137 port 1-26 deny
config access_profile profile_id 1 add access_id auto_assign ip tcp dst_port         138 port 1-26 deny
config access_profile profile_id 1 add access_id auto_assign ip tcp dst_port         139 port 1-26 deny
config access_profile profile_id 1 add access_id auto_assign ip tcp dst_port         445 port 1-26 deny
config access_profile profile_id 1 add access_id auto_assign ip tcp dst_port        2869 port 1-26 deny

create access_profile                                        ip udp dst_port_mask 0xffff profile_id 2
config access_profile profile_id 2 add access_id auto_assign ip udp dst_port         135 port 1-26 deny
config access_profile profile_id 2 add access_id auto_assign ip udp dst_port         137 port 1-26 deny
config access_profile profile_id 2 add access_id auto_assign ip udp dst_port         138 port 1-26 deny
config access_profile profile_id 2 add access_id auto_assign ip udp dst_port         139 port 1-26 deny
config access_profile profile_id 2 add access_id auto_assign ip udp dst_port         445 port 1-26 deny
config access_profile profile_id 2 add access_id auto_assign ip udp dst_port        1900 port 1-26 deny

# для ARP бродкаст нужен
create access_profile                                        ethernet ethernet_type       profile_id 3
config access_profile profile_id 3 add access_id auto_assign ethernet ethernet_type 0x806 port  1-26 permit

# а потом его можно и нужно запретить :)
create access_profile                                        ethernet destination_mac ff-ff-ff-ff-ff-ff profile_id 4
config access_profile profile_id 3 add access_id auto_assign ethernet destination_mac ff-ff-ff-ff-ff-ff port 1-26 deny

config igmp_snooping querier all state enable
config igmp_snooping all state enable
enable igmp_snooping

config router_ports_forbidden <имя VLAN> add <список клиентских портов>

config multicast port_filtering_mode <список клиентских портов> filter_unregistered_groups

create multicast_range mcast from 224.0.0.0 to 239.255.255.255
config limited_multicast_addr ports <список клиентских портов> add multicast_range mcast
config limited_multicast_addr ports <список клиентских портов> access deny state enable

create access_profile ip destination_ip_mask 255.255.255.255 tcp dst_port_mask 0xFFFF profile_id 1
#разрешаем доступ на наш сервер
config access_profile profile_id 1 add access_id 1 ip destination_ip 10.0.0.254 tcp dst_port 1723  port 1-50 permit
#запрешаем все остальное
create access_profile ip destination_ip_mask 255.255.255.255 tcp dst_port_mask 0xFFFF profile_id 2
config access_profile profile_id 2 add access_id 1 ip destination_ip 0.0.0.0 tcp dst_port 1723  port 1-50 deny

# разрешаем доступ на сервер
create access_profile                              ip destination_ip_mask 255.255.255.255 tcp dst_port_mask 0xFFFF profile_id 1
config access_profile profile_id 1 add access_id 1 ip destination_ip      10.0.0.254      tcp dst_port        1723  port 1-50 permit

# запрешаем все остальное
create access_profile                              ip destination_ip_mask 0.0.0.0 tcp dst_port_mask 0xFFFF profile_id 2
config access_profile profile_id 2 add access_id 1 ip destination_ip      0.0.0.0 tcp dst_port        1723  port 1-50 deny