如何在Windows服务器上限制Elasticsearch 9200端口仅允许应用服务器访问？

方法一：修改Elasticsearch配置，仅监听内网/本地IP（适用于应用服务器与ES同内网场景） #

• 找到Elasticsearch安装目录下的config/elasticsearch.yml文件，用文本编辑器打开。
• 找到network.host配置项，将默认值0.0.0.0（允许所有IP访问）修改为ES服务器的内网IP（比如192.168.1.200），或本地回环地址127.0.0.1（仅允许本机访问，可结合反向代理进一步控制）。
  示例配置：network.host: 192.168.1.200
• 保存文件后，重启Elasticsearch服务（Windows下可通过服务管理器找到Elasticsearch服务，右键选择重启）。

设置完成后，Elasticsearch仅会监听指定的内网IP，公网无法直接访问9200端口，只有同一内网的应用服务器能正常连接。

方法二：用Nginx反向代理实现IP白名单（适用于应用服务器为公网IP或需严格IP限制场景） #

如果应用服务器是公网IP，或者需要更精准的IP过滤，可通过Nginx反向代理实现：

1. 在Elasticsearch服务器上安装Nginx。
2. 修改Elasticsearch的elasticsearch.yml，将network.host设置为127.0.0.1，让ES仅允许本机访问，阻断外部直接连接。
3. 配置Nginx的反向代理规则，在Nginx配置文件（如conf/nginx.conf或新建的站点配置）中添加以下内容：

server {
    listen 9200;
    server_name www.example.com;

    # 仅允许指定应用服务器IP访问，替换为你的应用服务器真实IP
    allow 1.2.3.4;
    deny all;

    location / {
        proxy_pass http://127.0.0.1:9200;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

4. 保存Nginx配置后，重启Nginx服务（Windows下可执行nginx -s reload命令，或通过服务管理器重启）。

注意事项 #

• 修改Elasticsearch配置后，需确认应用服务器能正常访问ES的新监听地址，若设置为内网IP，要保证两台服务器的内网连通性。
• 使用Nginx反向代理时，需确保Nginx的9200端口正常对外开放，且配置中的应用服务器IP准确无误。

内容的提问来源于stack exchange，提问作者Yunus Emre Dal