使用Traefik配置Elasticsearch SSL时出现500/502错误求助

核心错误原因 #

1. 500内部服务器错误：Traefik访问Elasticsearch容器的IP（172.16.4.136）不在Elasticsearch证书的可信域名/IP列表中，导致TLS证书验证失败。elasticsearch-certutil不支持CIDR网段（如172.16.4.0/24），只能添加单个IP或具体域名。
2. 502网关错误：未配置server.scheme=https时，Traefik尝试用HTTP协议访问Elasticsearch的HTTPS端口（9200），导致连接被强制断开，出现EOF错误。

具体修复步骤 #

1. 重新生成Elasticsearch证书（解决500错误） #

修改docker-compose.yml中setup服务的instances.yml配置，将ES的IP从网段改为具体容器IP（172.16.4.136），同时确保包含Traefik访问时用到的域名：

echo -ne \
"instances:
"\
"  - name: es01
"\
"    dns:
"\
"      - es01
"\
"      - localhost
"\
"      - {{elastic_app_name}}.{{app_domain_name}}  # 添加你的ES域名
"\
"    ip:
"\
"      - 127.0.0.1
"\
"      - 172.16.4.136  # 替换为ES容器的实际IP，去掉网段
"\
"  - name: kibana
"\
"    dns:
"\
"      - kibana
"\
"      - localhost
"\
"      - {{kibana_app_name}}.{{app_domain_name}}
"\
"    ip:
"\
"      - 127.0.0.1
"\
"      - 172.16.4.xxx  # Kibana容器的实际IP
"\
> config/certs/instances.yml;

删除certs卷并重新启动服务生成新证书：

docker-compose down -v
docker-compose up -d

2. 修正Traefik服务标签配置 #

确保serversTransports配置正确关联到Elasticsearch服务，在es01的Traefik标签中添加关联项：

labels:
  - traefik.enable=true
  - traefik.docker.network={{ traefik_network_name }}
  - traefik.constraint-label={{ traefik_network_name }}
  - traefik.http.routers.elastic.rule=Host(`{{elastic_app_name}}.{{app_domain_name}}`)
  - traefik.http.routers.elastic.entrypoints=web, websecure
  - traefik.http.routers.elastic.tls=true
  - traefik.http.routers.elastic.tls.certresolver={{traefik_mode}}
  - traefik.http.services.elastic.loadbalancer.server.port=9200
  - traefik.http.services.elastic.loadbalancer.server.scheme=https
  - traefik.http.serversTransports.elastic.insecureSkipVerify=true  # 临时跳过验证，证书修复后建议移除
  - traefik.http.services.elastic.loadbalancer.serverstransport=elastic  # 关联自定义serverTransport

3. 验证访问配置 #

• 确保域名{{elastic_app_name}}.{{app_domain_name}}正确解析到Traefik所在服务器的公网IP。
• 调整Python测试代码中的域名配置，无需添加端口（Traefik监听443端口）：

NODES = [
    'https://{{elastic_app_name}}.{{app_domain_name}}'
]

可选优化方案 #

• 移除证书跳过验证：证书修复完成后，删除traefik.http.serversTransports.elastic.insecureSkipVerify=true标签，让Traefik正常验证ES证书。
• 用容器名访问ES：将Traefik配置中loadbalancer的目标地址改为容器名es01，无需添加容器IP到证书SAN，直接使用证书中已有的es01域名即可。

内容的提问来源于stack exchange，提问作者Rabens