你要限制单个IP访问外网，需要在防火墙上配置ACL而不是在交换机上
不知道你防火墙是不是思科的。如果是思科的新建一条ACL过滤掉你要限制的那个IP地址就行了
R1(config)#access-list 1 deny host 168.168.168.x
R1(config)#access-list 1 permit any
R1(config)#int f1/0
R1(config-if)#ip access-group 1 out
