本地连接EC2上Docker部署的ElasticSearch证书信任问题求助

一、先排查网络连通性（优先） #

你用-k跳过证书校验仍报错，大概率不是证书本身的问题，先确认网络能通：

• 检查EC2安全组：确保9200端口已开放给本地Ubuntu的公网IP（或临时开放0.0.0.0/0测试，测试后及时改回）。
• 检查EC2本地防火墙：如果EC2启用了ufw/iptables，执行sudo ufw allow 9200或对应iptables规则开放端口。
• 测试端口连通性：在本地Ubuntu执行telnet 你的EC2公网IP 9200，如果连接超时，说明网络层面没打通，先解决这个。

二、修复SSL证书信任问题 #

如果网络没问题，再处理证书报错：

1. 更新系统证书信任库：
   你已经把http_ca.crt放到/usr/local/share/ca-certificates/，执行以下命令让系统加载新证书：

   sudo update-ca-certificates
   

   之后直接执行curl命令（无需指定--cacert）：

   curl -u elastic:$Password https://你的EC2公网IP:9200
   

2. 验证证书完整性：
   确认本地证书和EC2上的完全一致，避免复制时损坏：

   # 在EC2终端执行
   md5sum http_ca.crt
   # 在本地Ubuntu终端执行
   md5sum /usr/local/share/ca-certificates/http_ca.crt
   

   两个输出的MD5值必须完全相同，否则重新复制证书。

三、检查Docker端口映射配置 #

确认EC2上的ElasticSearch容器端口是对外映射的：
执行docker ps | grep elasticsearch，查看端口映射列，必须是0.0.0.0:9200->9200/tcp。如果是127.0.0.1:9200->9200/tcp，说明容器只绑定了EC2本地回环地址，需要修改启动命令：

• 若用docker run启动，添加参数-p 0.0.0.0:9200:9200
• 若用docker-compose，修改ports字段为"0.0.0.0:9200:9200"
  修改后重启容器即可。

内容的提问来源于stack exchange，提问作者LearnToGrow