Daquilo que eu sei/lembro (tirei curso de redes, um CET, mas não trabalho na área de redes, prefiro software):
Quando colocas off, significa que não queres que aquela determinada porta receba/envie tráfego daquela VLAN.
Se for tagged, significa que o tráfego daquela VLAN passa na porta, mas com a "etiqueta" a indicar qual a VLAN a que pertence.
No caso do untagged, significa que o tráfego não está descriminado, ou seja, não está etiquetado (é o que acontece quando ligas um PC a uma das LAN's, não tens de fazer Tag à VLAN 1 no teu PC, certo?)
Agora as combinações:
Porta X
VLAN 1 - off
VLAN 12 - tagged
Todo o tráfego da porta X vai e vem com Tag 12
Imagina que numa das LAN's fazes isto:
Porta X
VLAN 1 - tagged
VLAN 12 - off
Terias de configurar a VLAN 1 no equipamento terminal ligado à porta, daí que se coloca o untagged, já que naquela porta só vai trafego sem identificação ("tag").
Outra coisa que daria para fazer (não sei nesse equipamento em específico):
Porta X
VLAN 1 - tagged
VLAN 12 - tagged
Aqui estamos a fazer um trunk de VLAN (partilhar a porta para passar tráfego vindo da VLAN 1 e VLAN 12), não é de todo o cenário que se quer aqui.
No limite tens a bridge, em que no fundo dizes a uma das LAN's para ignorar a VLAN 1 e passar a VLAN 12 (com tag):
Porta X
VLAN 1 - off
VLAN 12 - tagged
Aqui entra o equipamento do ISP a fazer Tag da VLAN 12 do tráfego que lhe envias na tua LAN <-> WAN (Router ISP), e depois há-de ser algo idêntico à ultima imagem que enviaste (mas com o software específico do ISP).