No, el puerto 4 no tiene taggeada la VLAN2. Forma parte de la VLAN1 (o la que use internamente para el bridge LAN) sin taggear. Es decir, todos los puertos forman parte del mismo dominio de difusión y el deco es un equipo más en la red local. Entre la ONT interna y la WAN se gestionan las conexiones internet, IPTV y VoIP con diferentes VLAN. En la tabla de rutas hay una GW por defecto (0.0.0.0/0) en la interfaz de internet (VLAN6), y luego una serie de rutas específicas obtenidas por RIP configuradas para las interfaces IPTV (VLAN2) y VoIP (VLAN3).
Además en el router corre un Proxy IGMP que se encarga de configurar dinámicamente las rutas multicast entre la VLAN2 y la interfaz br-LAN (puertos LAN1-4 y wifi).
En función de las IP's a las que pida acceso el deco, va por una conexión WAN o por otra según esas tablas de enrutamiento. Para un canal en vivo o contenido VOD (u7d, etc), se enruta por VLAN2 y para apps tipo Netflix por la VLAN6. Pero todo eso sucede en el router, "al otro lado" de la interfaz br-LAN.
Con una ONT sí puedes trabajar con más de una VLAN en el mismo puerto, de hecho debes hacerlo y de forma taggeada si quieres llevar al router neutro todos los servicios a su puerto WAN.