Kubernetes中使用NEST连接Elasticsearch v8失败求助

核心问题是SSL证书验证失败，从异常信息RemoteCertificateNameMismatch, RemoteCertificateChainErrors可以看出：Elasticsearch v8默认生成的自签名证书，要么和你访问的localhost主机名不匹配，要么未被客户端信任。浏览器能访问是因为允许手动信任自签名证书，但NEST客户端默认严格执行证书验证逻辑。

方法1：临时禁用证书验证（仅开发/调试环境） #

快速跳过SSL验证，验证业务逻辑是否正常，生产环境绝对禁止使用：

var settings = new ConnectionSettings(new Uri("https://localhost:9200"))
                .BasicAuthentication("elastic", "0fjaNokbmHSeS4kXeFV")
                .DefaultIndex("people")
                .RequestTimeout(TimeSpan.FromSeconds(300))
                // 跳过所有SSL证书验证
                .ServerCertificateValidationCallback((sender, cert, chain, errors) => true);

var client = new ElasticClient(settings);

方法2：信任Elasticsearch的CA证书（推荐测试/预发布环境） #

步骤1：从Kubernetes导出ES的CA证书 #

假设Elasticsearch集群的证书secret名为elasticsearch-es-http-certs-public，执行命令导出：

kubectl get secret elasticsearch-es-http-certs-public -o go-template='{{index .data "ca.crt"}}' | base64 -d > ca.crt

步骤2：在代码中加载并信任证书 #

可以通过证书指纹验证，或者直接添加到信任逻辑：

using System.Security.Cryptography.X509Certificates;

// 加载导出的CA证书
var caCert = X509Certificate.CreateFromCertFile("./ca.crt");
var settings = new ConnectionSettings(new Uri("https://localhost:9200"))
                .BasicAuthentication("elastic", "0fjaNokbmHSeS4kXeFV")
                .DefaultIndex("people")
                .RequestTimeout(TimeSpan.FromSeconds(300))
                // 使用证书指纹验证
                .CertificateFingerprint(caCert.GetCertHashString());

var client = new ElasticClient(settings);

也可以将CA证书安装到客户端机器的系统根信任证书库，这样代码无需额外配置即可信任证书。

方法3：使用匹配主机名的自定义证书（生产环境） #

生成包含你访问域名（如localhost或Ingress域名）的SSL证书，替换ES默认证书：

1. 生成符合要求的证书（自签名需包含Subject Alternative Name字段，或使用Let's Encrypt等权威证书）
2. 在Kubernetes中更新Elasticsearch的证书secret
3. 客户端代码无需额外验证配置（只要证书在信任列表内）

内容的提问来源于stack exchange，提问作者Bac Clunky