сцуко. берём тик. ставим на порту vlan mode secure. ставим default vlan id = 321. ставим vlan header = always strip.
суём в порт другой тик и смотрим torch. в пакетах видим заголовок vid 321.
читаем вику.
Note: For devices with QCA8337 and Atheros8327 switch chips a default vlan-header=leave-as-is should be used. When vlan-mode=secure is configured, it ignore switch port vlan-header options. VLAN table entries handle all the egress tagging/untagging and works as vlan-header=leave-as-is on all ports. It means what comes in tagged, goes out tagged as well, only default-vlan-id frames are untagged at the egress of port.
хрен там плавал!
так там же написано, что нужно оставить leave-as-is и включить secure и тогда то, что default-vlan-id будет растегироваться на порту