Подскажите как корректнее (ACL или другой службой) бороться с подстановкой MAC-адреса шлюза абонетом

Сеть грубо говоря, шлюз-3100-24(FV3.60.28)-3200-26(1.21.B006)

При помощи ACL и статических записей в FDB.

Пробую там не работает, наверное что то не правильно пишу (DES-3200-26)

create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF profile_id 30
config access_profile profile_id 30 add access_id auto ethernet source_mac xx-xx-xx-xx-xx-xx port 25 permit
create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 60
config access_profile profile_id 60 add access_id auto ethernet destination_mac xx-xx-xx-xx-xx-xx port 1-24,26 deny

где xx-xx-xx-xx-xx-xx mac-адрес шлюза

В Ваших правилах используется Destination MAC на клиентских портах, то есть Вы блокируете весь трафик предназначенный шлюзу. А нужно блокировать наоборот Source MAC, на портах, где шлюз в реальности не находится.

Спасибо, сейчас попробую.

Не за что.

Простите меня конечно, но как коммутаторы отнесутся к 2-м одинаковым мак-адресам с разных портов?
Может быть всё-таки лучше Static FDB на аплинке?

Да, статическую запись в FDB тоже нужно создать. Я об этом уже писал.

Тогда можно обойтись 1м правилом (+ static fdb):
create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 60
config access_profile profile_id 60 add access_id auto ethernet source_mac xx-xx-xx-xx-xx-xx port 1-24,26 den
Правильно понимаю?

Да, только в профиле должен быть тоже Source MAC.

Спасибо. Да, забыл в профиле поменять)

Не за что.