为Wazuh-Dashboard安装SSL证书及Wazuh Manager自定义SSL配置疑问

核心结论 #

可以为Wazuh Manager配置自定义SSL证书，你遇到的日志流中断问题，核心原因是Wazuh Indexer未信任自定义根CA证书，导致Manager向Indexer发送日志时被拦截，同时Java实例（Indexer的Java进程）的API调用因证书信任失败报错。

具体解决步骤 #

1. 为Wazuh Indexer导入自定义根CA证书

Indexer基于Java栈，使用密钥库管理证书信任，必须将自定义根CA导入其信任库：

• 定位Indexer信任库路径（默认路径如下），默认密码为changeit（若已修改请替换）：

  /etc/wazuh-indexer/certs/truststore.jks
  

• 执行keytool命令导入根CA证书：

  keytool -importcert -file /path/to/your/custom-root-ca.crt -alias custom-root-ca -keystore /etc/wazuh-indexer/certs/truststore.jks -storepass changeit
  

• 重启Indexer服务使配置生效：

  systemctl restart wazuh-indexer
  

2. 确认Wazuh Manager的证书配置完整性

确保Manager使用的证书由自定义CA签发，且配置文件中指定完整证书链：

• 编辑Manager配置文件/var/ossec/etc/ossec.conf，检查<indexer>模块的证书配置：

  <indexer>
    <enabled>yes</enabled>
    <hosts>
      <host>YOUR_INDEXER_IP</host>
    </hosts>
    <port>9200</port>
    <protocol>https</protocol>
    <ssl_certificate>/path/to/manager-cert.pem</ssl_certificate>
    <ssl_key>/path/to/manager-key.pem</ssl_key>
    <ssl_ca>/path/to/custom-root-ca.crt</ssl_ca>
  </indexer>
  

• 重启Manager服务：

  systemctl restart wazuh-manager
  

3. 验证组件间通信

• 测试Manager到Indexer的API连通性，确认证书信任正常：

  curl -XGET https://YOUR_INDEXER_IP:9200 -u admin:YOUR_INDEXER_PASSWORD --cacert /path/to/custom-root-ca.crt
  

• 检查Indexer日志/var/log/wazuh-indexer/wazuh-indexer.log，确认无证书相关报错。

4. 同步Dashboard的CA配置（可选）

虽然你已配置Dashboard自定义SSL，仍需确保Dashboard信任Indexer的证书链：

• 编辑Dashboard配置文件/usr/share/wazuh-dashboard/config/opensearch_dashboards.yml：

  opensearch.hosts: ["https://YOUR_INDEXER_IP:9200"]
  opensearch.ssl.certificateAuthorities: ["/path/to/custom-root-ca.crt"]
  

• 重启Dashboard服务：

  systemctl restart wazuh-dashboard
  

内容的提问来源于stack exchange，提问作者Jonathan