S7506E下挂AC+S5110(下挂AP) DHCP分配客户端上网控制问题

需求描述如下：
现在公司网络拓扑为三层交换机S7506e下挂S5110二层接入交换机和AC控制器WX3520H,S5110接入交换机下挂AP，管理模式为AC+AP集中管理，DHCP在三层S7506E设备上配置的，需求是根据客户端MAC地址控制访问网关，同时有外来人员接入后可以自动获取地址。要求是根据MAC地址分配的IP地址（DHCP静态绑定）可以正常访问外网，外来人员自动获取的ip地址不能访问网关，仅可以与同网段ip通信或不能通信，对MAC授权后才能访问外网。要求不能使用802.1接入控制让客户端安装第三方软件或IMC来实现。 经常查阅大量资料好像通过QOS可实现，请高手帮忙分析并确认，配置如下：

// 定义流分类gw traffic classifier gw operator and 

 // 匹配访问网关流量 if-match acl 3070 traffic classifier mac operator or if-match source-mac c83c-859d-50a2 if-match source-mac 0015-c50d-1111 if-match source-mac 0015-c50d-2222 

 // 定义流行为permit traffic behavior permit 

// 允许通过 filter permit 

 // 定义流行为deny traffic behavior deny 

 // 拒绝通过 filter deny 

 // 定义qos策略myqos qos policy myqos 

 // 先将gw流和permit绑定 classifier gw behavior permit 

 // 再mac流和deny绑定 classifier mac behavior deny interface Vlan-interface 70 dhcp server apply ip-pool pool 70-guest 

// 接口入方向应用myqos策略 qos vlan-policy myqos vlan 70 inbound 

请帮忙确认如上配置如何修改才能实现我的需求，允许部分mac上网，拒绝其他，谢谢！