>если пользователи находятся в разных VLAN'ах, то они друг друга не видят...
>
>
>они могут видеть друг друга только через маршрутизатор...
>следовательно, чтобы пользователи не видели друг друга, надо писать списка доступа на
>маршрутизаторе...

сделай следующее
1) отсоедини 2900 от 2950, проверь пинг между пользователями, подключи
2) отсоедини 2950 от маршрутизатора, проверь пинг между пользователеми
если в обоих случаях между пользователми не будет пинга то каталисты у тебя настроены верно, и, следовательно, нужно настраивать ACL на маршрутизаторе :).