Kubernetes环境中连接Elasticsearch服务出现TLS错误求助

1. 确认网络与端口连通性 #

先排除网络层面问题：

• 在客户端Pod执行nc -zv elasticsearch-master-headless 9200，检查端口是否能正常连通。如果不通，检查Kubernetes网络策略是否限制Pod间访问，或Elasticsearch容器的9200端口是否未正确暴露。
• 检查Elasticsearch的network.host配置，确保绑定到0.0.0.0或集群内部可访问IP，而非仅localhost（默认绑定localhost会导致跨Pod无法访问）。

2. 处理TLS证书信任问题 #

Elasticsearch 8.x默认启用TLS，跨Pod连接必须信任集群CA证书：

导出CA证书 #

从Elasticsearch Pod中导出集群CA证书：

kubectl exec -it elasticsearch-master-0 -- cat /usr/share/elasticsearch/config/certs/ca/ca.crt > elasticsearch-ca.pem

客户端配置调整 #

Python服务配置

在代码中指定CA证书路径：

from elasticsearch import Elasticsearch

es = Elasticsearch(
    "https://elasticsearch-master-headless:9200",
    ca_certs="/path/to/mounted/elasticsearch-ca.pem",
    basic_auth=("elastic", "your-elastic-password")
)

测试环境可临时关闭证书验证（生产环境不推荐）：

es = Elasticsearch(
    "https://elasticsearch-master-headless:9200",
    verify_certs=False,
    basic_auth=("elastic", "your-elastic-password")
)

Curl测试

使用CA证书进行测试：

curl --cacert elasticsearch-ca.pem -u elastic https://elasticsearch-master-headless:9200

3. 检查Helm服务配置 #

确认Helm Chart的headless服务端口映射正确：
查看values.yaml中的服务配置，确保headless服务的HTTPS端口指向9200：

service:
  headless:
    ports:
      https: 9200

4. 验证Elasticsearch TLS配置 #

确认Elasticsearch的elasticsearch.yml中TLS相关配置正确：

• xpack.security.enabled: true
• xpack.security.transport.ssl.enabled: true
• xpack.security.http.ssl.enabled: true
  这些配置默认启用，若有自定义修改，需确保未破坏TLS链路。

内容的提问来源于stack exchange，提问作者meditat