Elasticsearch Fleet Server频繁转为不健康状态，如何排查诊断？

1. 查看Elastic Agent及Fleet Server专属日志 #

你指定了--base-path /elk/fleet_server，对应的核心日志路径如下：

• Elastic Agent主日志：/elk/fleet_server/data/elastic-agent-*/logs/elastic-agent.log
• Fleet Server组件日志：/elk/fleet_server/data/elastic-agent-*/logs/fleet-server-*.log
  这些日志会记录Agent启动、ES连接、心跳维持、证书验证等细节，是排查间歇性故障的核心依据。

2. 使用Elastic Agent内置诊断命令 #

执行以下命令获取运行状态、配置及错误详情：

• 查看Agent实时运行状态：

  sudo elastic-agent status
  

• 导出完整配置与运行诊断报告：

  sudo elastic-agent inspect --output diagnostics-report.json
  

• 查看systemd层面的Agent服务日志（含启动/重启触发原因）：

  journalctl -u elastic-agent.service -f --no-pager
  

3. 系统资源与连接排查 #

• 监控Elastic Agent进程的CPU、内存占用，确认是否因资源耗尽导致重启：

  top -p $(pgrep elastic-agent)
  

• 检查Fleet Server端口（8220）的监听状态，确认是否存在端口占用或连接中断：

  ss -tulpn | grep 8220
  

• 模拟Fleet Server与ES的连接验证，确认SSL通信持续性：

  curl -v --cacert /elk/fleet_server/data/elastic-agent-*/certs/ca.crt https://10.x.y.z:9200/_cluster/health
  

4. Kibana Fleet控制台监控数据 #

在Kibana的Fleet > Fleet Servers页面，点击对应服务器条目，查看：

• 最近的心跳记录、异常错误事件
• Agent状态历史（重启次数、异常触发时间点）
• 策略应用记录（是否因策略更新导致Agent异常）

5. SSL证书验证细节排查 #

针对自签名证书场景，确认以下内容：

• 检查Fleet Server证书的有效期、主机名匹配：

  openssl x509 -in /elk/fleet_server/data/elastic-agent-*/certs/fleet-server.crt -text -noout
  

• 验证ES CA证书指纹与安装时指定的参数是否一致：

  openssl x509 -fingerprint -sha256 -noout -in /path/to/elasticsearch/ca.crt
  

  注意去掉输出指纹中的冒号后，与--fleet-server-es-ca-trusted-fingerprint值对比。

内容的提问来源于stack exchange，提问作者Sranda