Добрый день.

Стоит задача - изолировать от остальных три порта на свитче. Решил добавить эти порты в отдельный vlan а из дефолтного убрать. пишу
create vlan test tag 77 (пробовал и utag - результат такой-же)
config vlan test add tagged 7-10
config vlan default delete 7-10
save

И все вроде-бы нормально. Принтер воткнутый в 7ой порт для проверки перестает пинговаться НО примерно через 2 часа пинг появляется! Появляется с задержкой 15-70мс, но он есть! Хотя через вэб принтер по прежнему не откликается. Эксперимент проводил два раза, свитч конечно перезагружал. Может что-то еще нужно прописать или галочку поставить?

P.S. Traffic Segmentation не предлагать.

Разберитесь для начала с основами сети, чем отличается тегированный порт от не тегированного.

вам надо
create vlan test tag 77
config vlan default delete 7-10
config vlan test add unt 7-10
и все.
если не удалять с дефолт влана, а добавлять сразу, получается порт будет в двух вланах одновременно, за счет порядка команд неизвестно что останется в gvrp и какой на самом деле влан будет работать.
вообще понятие native vlan не в циско кли прошивке очень смутое. даже если нет ни одного влана, порт находится в какомто нативе влане изза гврп, проверено

Не понял, причём тут циско, но на самом деле всё просто.

- Есть такое понятие, как pvid - port vlan id.
Это номер влана, который вешается на приходящий нетегированный пакет.
Как верно замечено, "порт всегда находится в каком-то нативе влане".

- Когда порт добавляется к какому-то влану как untagged - pvid меняется на vid этого влана.

- Если порт добавить к нескольким вланам как untagged - то при каждом очередном добавлении, pvid будет меняться на vid соответствующего влана.
В итоге, финальный pvid будет соответствовать влану, куда добавляли этот порт последний раз.
Неоднозначностей тут нет - по show gvrp виден pvid.

- Такая множественная схема асимметрична - на выход все вланы будут выходить в этот порт, но вот на вход пакет всегда попадает только в один влан - согласно pvid.

- Когда нет ни одного влана, pvid работает только на приём.
Передачи пакетов не будет, так что нельзя сказать, что порт в этом влане.
И приём можно тоже предотвратить вовсе:
config gvrp НомерПорта ingress_checking enable acceptable_frame tagged_only