Logstash 8.6.1连接OpenSearch超时告警排查求助

核心结论 #

这个连接超时告警大概率和网络访问控制（防火墙/安全组）或端口配置错误有关，其中端口配置不匹配是最可能的直接原因。

1. 端口配置不匹配是首要排查点 #

你通过curl访问的是AWS OpenSearch Service的默认HTTPS端口（443），但Logstash的logstash-output-opensearch插件默认会将HTTPS请求的端口设为9200（开源OpenSearch的默认端口），而AWS托管版OpenSearch的公网HTTPS访问端口为443，这就导致Logstash尝试连接不存在的9200端口出现超时。

修改你的Logstash配置，明确指定443端口：

output {
    if [type]=="logback" {
         opensearch {
             hosts => [ "https://search-x.ap-southeast-1.es.amazonaws.com:443" ]
             auth_type => {
                type => 'basic'
                user => 'x'
                password => 'y'
             }
             index => "logback-%{+YYYY}"
             ecs_compatibility => disabled  
        }
    }
}

2. 防火墙/安全组的排查方向 #

如果修改端口后仍有问题，需要检查网络层面的访问限制：

• Logstash服务器出站规则：确认服务器的防火墙（如iptables、ufw）允许访问目标域名的443端口。
• AWS OpenSearch安全组：确认集群的安全组入站规则允许Logstash服务器的公网IP访问443端口；如果Logstash部署在AWS EC2上，还要检查EC2的安全组出站规则是否允许访问该端口。

3. 辅助排查步骤 #

• 在Logstash服务器上执行连通性测试：

  # 测试443端口连通性
  telnet search-x.ap-southeast-1.es.amazonaws.com 443
  # 或用curl指定端口测试
  curl -u x:y https://search-x.ap-southeast-1.es.amazonaws.com:443
  

• 若存在网络波动，可在Logstash配置中延长连接超时时间：

  opensearch {
      # 其他配置...
      timeout => 30 # 单位：秒，默认是6秒
  }
  

内容的提问来源于stack exchange，提问作者Eugene