Switch设备不直接发送邮件或短信，而是按模块和等级将日志分流至不同日志主机，由后端系统（如Syslog服务器或SIEM）解析日志内容、匹配关键字与等级，并触发对应通知渠道。
明确 switch 的角色边界
华为等主流交换机的信息中心（Info-Center）功能，核心能力是：按模块（如 arp、aaa、ospf）、严重等级（emergency、alert、critical、error、warning、notification、informational）和输出通道（channel），将日志定向发送到指定 IP 的日志主机。它不做“发邮件”或“发短信”的动作，也不解析日志内容语义（比如“用户登录失败”或“端口DOWN”）。因此，“映射”发生在后续环节。
配置日志分流规则（switch 侧操作）
在 switch 上为不同事件类型定义独立的 channel 和 loghost，并绑定源模块与等级：
-
高优先级网络事件（如 ARP 异常、接口故障）：使用
notification或warning级别，指向专用日志主机 A（例如 10.1.1.1） -
安全与认证事件（如 AAA 登录失败、ACL 拒绝）：使用
warning或error级别，指向另一台日志主机 B（例如 10.2.1.1） -
每条 rule 明确指定 source + level + channel + loghost，避免混杂。示例：
[switch a] info-center source arp channel loghost1 log level notification<br>[switch a] info-center source aaa channel loghost2 log level warning
后端系统完成事件识别与通知分发
日志主机（如 Linux rsyslog + Logstash）或云日志服务（如阿里云 SLS、华为云 LTS）接收原始日志后，依据以下维度做二次处理：
- 来源 IP + 日志模块字段：识别出自哪台 switch 的哪个功能模块
- 日志等级 + 关键字匹配：例如含 “%AAA-4-LOGIN_FAILED” 触发短信告警；含 “%LINEPROTO-5-UPDOWN” 且状态为 “down” 则触发邮件
- 告警策略绑定通知渠道：在日志服务控制台中新建通知渠道组，设置规则——“当匹配 ‘AAA 登录失败’ 且等级 ≥ warning 时，启用短信+电话；当匹配 ‘链路中断’ 且持续 2 分钟时，启用邮件+Webhook”
确保端到端链路可用
几个易忽略但关键的检查点：
- switch 的出接口必须能 ping 通各 loghost 的 IP，且防火墙放行 UDP 514（Syslog 默认端口）
- loghost 需开启 Syslog 接收服务，并配置正确的 facility 和 severity 过滤（避免日志被丢弃）
- 若使用云日志服务，需确认已正确接入 switch 的 Syslog 流量，并已完成索引配置，否则无法在查询中识别字段
- 邮件/短信通知依赖外部服务（SMTP 服务器、短信网关 API），这些必须在日志服务后台单独配置并测试连通性
