Docker部署Elastic Stack时Logstash无响应，请求排查方案

根据你的场景（Docker部署ES 8.12.0 + Kibana，Logstash无法访问http://localhost:9200），以下是具体排查步骤：

1. 检查Elasticsearch的安全配置（核心原因） #

Elasticsearch 8.x版本默认开启HTTPS和身份验证，你的docker-compose.yml未配置关闭安全策略，直接用HTTP访问http://localhost:9200会被拒绝或无响应。

验证方式： #

• 查看ES容器日志，获取elastic用户的初始密码：

  docker logs <elasticsearch容器ID或名称>
  

  日志中会包含类似内容：The generated password for the elastic built-in superuser is: <随机生成的密码>

• 用curl测试HTTPS访问（忽略自签名证书）：

  curl -k -u elastic:<上述密码> https://localhost:9200
  

  如果返回JSON响应，说明ES正常运行，只是Logstash用错了访问方式。

临时关闭安全（仅POC测试用）： #

在docker-compose.yml的elasticsearch服务中添加环境变量，关闭安全功能：

services:
  elasticsearch:
    image: elasticsearch:8.12.0
    ports:
      - '9200:9200'
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
      - xpack.security.enrollment.enabled=false
    ulimits:
      memlock:
        soft: -1
        hard:   -1
  # kibana配置保持不变

重启容器后，即可用http://localhost:9200直接访问。

2. 检查Logstash的网络访问配置 #

如果Logstash也是Docker部署，不能用localhost:9200访问ES——容器内的localhost指向自身，而非宿主机的ES容器。

正确配置： #

• 若Logstash和ES在同一个docker-compose网络中，直接用ES的服务名作为地址：http://elasticsearch:9200（关闭安全时）或https://elasticsearch:9200（开启安全时）。
• 若Logstash在宿主机运行，改用宿主机IP而非localhost（部分Docker环境中映射存在问题），比如http://127.0.0.1:9200或你的实际内网IP。

3. 确认Elasticsearch是否完全启动 #

Docker指标正常不代表ES服务已初始化完成，ES启动需加载插件、初始化索引等步骤，可能需要1-2分钟。

验证方式： #

• 查看ES日志，直到出现started关键字，说明服务完全就绪：

  docker logs <elasticsearch容器ID> | grep "started"
  

4. 检查Logstash配置文件的输出部分 #

确保Logstash的elasticsearch输出配置匹配ES的安全设置：

output {
  elasticsearch {
    # 开启安全时用HTTPS，关闭时用HTTP
    hosts => ["https://localhost:9200"]
    user => "elastic"
    password => "<你的elastic密码>"
    # 忽略自签名证书（仅测试用）
    ssl => true
    ssl_certificate_verification => false
  }
}

内容的提问来源于stack exchange，提问作者Aditya Rewari