نوشتن acl در سوئیچ 3560

سلام وقت بخیر
سناریوی من شامل یک روتر میباشد که به سوئیچ 3560 متصل است. این سوئیچ به دو سوئیچ 2960 متصل است که هرکدام از این دو سوئیچ دارای دو vlan میباشند. vlan ها بهم دسترسی دارند.
سوال اینجاست که باید دسترسی vlan ها را بهم محدود کنیم.
میخواستم بدونم دستورات acl دقیقا کجا باید نوشته شوند؟
چون من روی روتر که نوشتم ، دسترسی کل vlan ها بهم قطع میشه. حتی با دستور permit
میخواستم بدونم آیا روی سوئیچ 3560 هم باید acl نوشت؟
و این که اگر باید روی سوئیچ 3560 ، acl بنویسیم به چه صورت روی پورتهاش فراخوانی کنیم؟ چون پورتهاش ip ندارند.
کلا مشکل از کجاست؟

ممنون