Итак, распишу чуть подробнее...
Новый профиль:

Пример привил из профилей, которые мне нужно объединить:

Если их залить в таком виде, они добавляются без ошибок, но не отрабатывают (протестировано).
Красным отметил в каждом правиле ту маску, которая не должна учитываться для это правила.

Пробовал, как при создании профиля, в правилах указывать маски вида 0хFFFFFFFF вместо 0х0, т.е. такие:

И такие пробовал (как при создании профиля):

Это тоже не помогло, правила не отрабатывают.

Эти правила объединить не получится, так как в них анонсированы разные offset. На этой серии если offset анонсирован, то его нужно использовать.

Спасибо, понятно.

Не за что.

Для 3200-28 правила получились такие:

Ну и вот что для 3028 получилось:

А можете расшифровать что именно разрешаете и запрещаете?

_________________
D-Link Switches: Tips & Tricks

Конечно.
create access_profile packet_content_mask offset1 l2 0 0xFFFF offset2 l3 14 0xFFFF offset3 l3 16 0xFFFF profile_id 1
config access_profile profile_id 1 add access_id auto_assign packet_content offset1 0x0806 offset2 0x0a00 offset3 0x0002 port 1 permit
config access_profile profile_id 1 add access_id auto_assign packet_content offset1 0x0806 offset2 0x0a00 offset3 0x0003 port 2 permit

create access_profile packet_content_mask offset1 l2 0 0xFFFF profile_id 2
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x0806 port 1 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x0806 port 2 deny

Разрешаются арпы только с конкретного айпи абонента на конкретном порту.
Все остальные блочатся, т.е. дальше порта коммутатора они не уйдут.
Красное - ARP-протокол
Синее - первая часть IP-адреса (10.0 в hex)
Зеленое - вторая часть IP-адреса (0.1 и 0.2 в соответствующих правилах в hex)

для 3526 это тоже работает? и 100 процентов не позволит с другим ip на порту выйти в сеть?

Да.

а как при такой организации доступа к сети избежать одинаковых мак адресов в сети?

ну например у меня в сети подключиться самому нет возможности (например нет беспроводки) и это решается на уровне биллинга где есть все данные о мас адресах и скрипт добавления пользователя не даст создать пользователя с имеющимся мас адресом в сети.

то что в биллинге можно проверить все маки это понятно.
вопрос в том как при привязке клиента только по ip избежать одинаковых маков.
ведь я спокойно могу прописать свой ip и мак любого компа в моем сегменте. тем самым спокойно попаду в сеть без интернета и буду прерывать интернет компу у которого такой же мак на 10 минут

Port sec юзайте

вы же писали что не используете привязку по мак адресам в самом начале темы