Это команда в общем виде, но можно и не указывать. Оба варианта должны работать.

как создать ACL для ограничения к порту по списку мас адресов?

Читайте раздел ACCESS CONTROL LIST (ACL) COMMANDS
в мануале
Также почитайте форум - тема неоднократно обсуждалась

То есть я правильно понял что в физическом стеке traffic segmentation возможен только в пределах одного юнита?

Мне нужно будет разделить внутри своего стека из трех DES-3528 две сетки: 1) сетка приходящую от провайдера с реальными адресами на пару серверов и voip-шлюз 2) серая сетка сидящая за вторым интерфейсом одного из серверов. Между сетками никакой связи не нужно, но "реальная" сетка будет находиться на разных юнитах (за тем и весь смысл).

Стек работает как одно устройство, поэтому проблем быть не должно.

Таки неясно - работает оно исключительно на одном коммутаторе (как указано на стр. 9) или можно строить обычную сеть (как указано на стр. 3).
В интернетах много где упоминается, что tagged-порты можно использовать и они работают как обычно. Вопрос интересный и важный, потому что документация на сайте не дает внятного ответа.