Docker部署OpenSearch安全配置使用及SSL连接问题排查

一、先确认基础连通性 #

• 检查网络与端口
  如果你是从本地访问远程专用服务器的OpenSearch，不能用127.0.0.1，必须替换成服务器的公网/内网IP。同时要确认服务器防火墙、安全组已经放行9200端口。
  可以先用telnet测试通路：

  telnet 服务器IP 9200
  

  如果连不上，优先解决端口开放和网络连通问题。

• 检查容器运行状态
  登录服务器，查看容器是否正常启动：

  docker-compose ps
  

  确保两个节点状态都是Up。如果有节点未启动，查看日志定位问题：

  docker logs opensearch-node1
  

  常见启动失败原因包括内存不足（JVM堆配置与服务器内存不匹配）、集群节点发现失败等。

二、处理SSL证书验证问题 #

OpenSearch默认启用自签名SSL，curl会默认校验证书合法性，这是导致连接失败的核心原因之一，有两种处理方式：

方式1：临时跳过SSL验证（仅测试用） #

在curl命令中添加-k参数跳过证书校验：

curl -XGET https://服务器IP:9200 -u 'admin:admin' -k -v

方式2：导入自签名证书（生产环境推荐） #

1. 从服务器的OpenSearch容器导出根证书：

   docker cp opensearch-node1:/usr/share/opensearch/config/root-ca.pem ./root-ca.pem
   

   将导出的root-ca.pem下载到本地机器。

2. curl请求时指定证书文件：

   curl -XGET https://服务器IP:9200 -u 'admin:admin' --cacert ./root-ca.pem -v
   

三、验证集群健康状态 #

连接成功后，执行以下命令确认集群运行正常：

curl -XGET https://服务器IP:9200/_cluster/health?pretty -u 'admin:admin' -k

返回结果中"status": "green"表示集群状态健康。

四、额外注意事项 #

• 若在服务器本地测试，使用127.0.0.1是可行的，但要确保容器9200端口已正确映射到主机。
• JVM堆配置-Xms512m -Xmx512m适合小内存服务器，若服务器内存充足，建议调整为服务器内存的50%左右，避免内存不足导致节点崩溃。
• 首次启动时OpenSearch会自动生成SSL证书，默认配置未持久化config目录，重启容器会重新生成证书，此时客户端需重新导入新证书。

内容的提问来源于stack exchange，提问作者habb