Пытаюсь закрыть порты на свитче, кроме 80ого
create access_profile ip tcp dst_port_mask 0xFFFF prof 3
config access_profile profile_id 3 add access_id auto ip tcp dst_port 80 port 9 perm

create access_profile ip tcp dst_port_mask 0x0 flag syn prof 4
config access_profile profile_id 4 add access_id auto ip tcp dst_port 0 flag_mask syn port 9 deny

После создания правил в ACL, 80 порт, как и прочие не доступен.
fw 6.00.B27
Никаких других правил на свитче нет.

Вы хотите разрешить доступ именно к управляющему интерфейсу коммутататора по 80 порту, а по другим запретить? Если так, то для этого нужно использовать CPU ACL.

Скорее всего задача - разрешить юзеру только HTTP. А почему в первом правиле port 9, а во втором port 1 ?

Торопился, ошибся. Везде 9 порт

Нет, требуется заблокировать все порты на DES-3526, исключая 80-ый для того, кто сидит на этом порту.

Правильней будет вынести управление коммутатором в отдельный VLAN и задействовать функционал Trusted Host.

Сделал по destination_ip:
create access_profile ip source_ip_mask 0.0.0.0 destination_ip_mask 255.255.255.255 tcp dst_port_mask 0xFFFF profile_id 3
config access_profile profile_id 3 add access_id 1 ip source_ip 0.0.0.0 destination_ip x.x.x.x tcp dst_port 80 port 25 permit
create access_profile ip source_ip_mask 0.0.0.0 destination_ip_mask 255.255.255.255 tcp dst_port_mask 0x0000 profile_id 4
config access_profile profile_id 4 add access_id 1 ip source_ip 0.0.0.0 destination_ip x.x.x.x tcp dst_port 0 port 25 deny

И все же, очень интересно, почему не сработал способ, указанный в первом посте.

Потому что это нужно делать через CPU Interface Filtering

_________________
С уважением,
Бигаров Руслан.