Две железки DGS-3312SR нужно соединить между собой через некоторую СПД посредством VLAN. первые порты между собой, вторые порты в локалки.
Что я понимаю надо сделать:
Новый VLAN VID=100 Advertisement=disabled
port1 -tagged. None.
port2 -untagged. Egress.
port 3-4 -untagged. 2-4 Forbidden
на обоих железках.

Снять tagged с портов нельзя, ругается на overlapped или вообще не снимает.
И что делать с дефолтным VLAN1?

Надо удалить нужные порты из первого VLAN-а.

Я правильно понимаю, что удалить их можно только через CLI?

Нет можно и через WEB.

Я ещё плохо ориентируюсь в настройках, не могу найти в configuration/vlans/static VLAN entry возможности удалить ПОРТЫ из VLANа.

Modify -> None.

Не буду создавать новую, напишу здесь же.

Поднять vlan на 3312 у меня не получилось. Создавал вланы на обоих сторонах, включал ip-интерфейс с промежуточной сетью в этот влан(100). 3312 не маршрутизировала пакеты между разными вланами (100 и default) и соответственно сетями.
Решил поднять вланы на 3526, тут никакой маршрутизации, проще.

Прошивка 4.01-B19 на обоих.

Command: show vlan

VID : 1 VLAN Name : default
VLAN TYPE : static Advertisement : Disabled
Member ports : 1-24,26
Static ports : 1-24,26
Current Untagged ports : 1-24,26
Static Untagged ports : 1-24,26
Forbidden ports :

VID : 100 VLAN Name : vlan100
VLAN TYPE : static Advertisement : Disabled
Member ports : 25-26
Static ports : 25-26
Current Untagged ports : 26
Static Untagged ports : 26
Forbidden ports :

Total Entries : 2

На другом аналогично. GVRP выключен, asymmetric vlan включен.
На ingress разумеется на порт 25 нарезан PVID=100.

пингую с одного 3526 другой и одновременно смотрю кол-во исходящих из порта 25. ни одного пакета не посылается. Что я делаю неправильно?

Перезвоните пожалуйста завтра в офис по телефону 744-00-99 доб.390 или укажите Ваш телефон.

Во-первых, большое спасибо Демину Ивану за консультацию, оказалась очень полезна
Во-вторых, ошибка моя была достаточно глупая, просто от незнания.

Чтобы пинговать с одного 3526 на другой, их ip-адреса должны принадлежать новому vlan`у, т.к. по умолчанию пинги уходят в default(1). Но тут нужно быть осторожным, т.к. после перенастройки, устройства будут недоступны, надо заранее озаботится пробросом управляющего влана. Второй нюанс - это pvid. Все незнакомые пакеты (без тега) будут считаться членами того влана, который указан pvid`ом в этом порте.
Собственно результат