MAC-AddressのベンダーIDをフィルタする。

SW2のG0/3で送信元MAC-Address
ベンダーID（0000a1）をフィルタする。

mac access-list extend MAC-DENY
deny 0000.a1 00.0000 0000.00 ff.ffff
　　　　(固定)　　(可変) (固定) (可変)
permit any any

interface GigabitEthernet0/7
mac access-group MAC-DENY in

補足1：
あて先をフィルタ：ブロードキャスト、マルチキャストも含まれる。
送信元をフィルタ：こっちをなるべく使う。（8割がた）
　　　　　　　 　　ユニキャストなので確実にフィルタできる。

補足2：
sw2(config)#mac address-table static <mac address>
で、mac addressは自由に変えられる