journalctl本身不支持按远端主机标识直接过滤，但可通过_hostname=字段（需journal-remote接收端启用）或--machine参数（需远程运行journal-gatewayd）实现等效效果，二者均依赖正确配置与权限。
一、查看由 journal-remote 接收并本地存储的远端日志
若你用 systemd-journal-remote 搭建了集中式日志服务器，并把其他主机日志推送到该服务，它会将每条日志打上元数据字段：
- _HOSTNAME=：记录发送日志的原始主机名（关键！）
- _MACHINE_ID=：原始主机的 machine-id（可用于唯一区分）
- _TRANSPORT=：通常为 "journal" 或 "syslog"
此时可在接收端执行：
journalctl _HOSTNAME=web01.example.com
或同时限定多个主机：
journalctl _HOSTNAME=web01.example.com _HOSTNAME=db02.example.com
注意：需确保 journal-remote 服务已启用并正确解析了 HTTP 头中的 Host 字段或客户端证书信息，否则 _HOSTNAME 可能为空或为接收端主机名。
二、使用 --machine 参数访问已注册的远程机器日志（需 systemd 240+）
systemd 提供了 --machine 选项，但它的前提是：远程主机必须运行 systemd-journal-gatewayd（HTTP 网关服务），且本地能通过 SSH 或本地套接字连接到它。这不是“过滤”，而是“查询”：
- 启用远程网关：
sudo systemctl enable --now systemd-journal-gatewayd（在目标主机上） - 本地查询该主机日志：
journalctl --machine=user@192.168.1.100 - 也可加其他条件组合，如：
journalctl --machine=app03 -u nginx.service -p err
该方式下，--machine 指定的是远程主机身份，所有日志都来自该主机，天然实现了“按远端主机标识分离”。
三、注意事项与权限要求
无论哪种方式，都要注意：
- 普通用户默认看不到跨主机日志；需加入
systemd-journal组或使用sudo -
_HOSTNAME字段可能被伪造或缺失，建议配合_MACHINE_ID使用（更可靠） - 转发日志若经 rsyslog/syslog-ng 中转，通常会丢失 systemd 元数据，无法用 journalctl 原生字段过滤——此时应改用其自带的过滤机制
- 确认日志是否真正落地：运行
journalctl --list-boots或journalctl --disk-usage查看是否有远端日志被接收并持久化
