如何curl访问AWS EC2上Docker部署的Elasticsearch 8.2服务

是。Elasticsearch 从8.0正式版本开始默认启用全栈安全特性，HTTP接口默认强制开启SSL/TLS加密，仅响应HTTPS请求，默认不会响应明文HTTP请求，这是版本默认设计，不是配置故障。

按以下顺序逐层排查，覆盖绝大多数同场景故障：

第一层：先验证服务本地可用性 #

先在部署ES的EC2实例本地执行测试，排除ES服务本身配置问题：

• 执行命令curl -k https://localhost:9200
• 如果本地请求能正常返回集群名称、版本号等信息，说明ES服务运行正常，故障出在网络、端口映射、防火墙层面；如果本地请求失败，优先修正ES配置。

第二层：排查网络与端口映射阻断 #

这类问题占80%以上的跨实例访问失败场景：

• 检查Docker端口映射规则：执行docker ps查看ES容器的端口映射，必须是0.0.0.0:9200->9200/tcp，如果映射到127.0.0.1:9200，外部实例必然无法访问，启动容器时需使用参数-p 9200:9200（默认即绑定0.0.0.0），不要仅绑定本地回环地址。
• 检查AWS安全组规则：确认EC2实例绑定的安全组入站规则放开9200端口，源地址按需配置为同VPC内网网段、需要访问的后端实例私网IP；公网测试时可临时配置0.0.0.0/0，生产环境禁止这么配置。
• 检查主机防火墙：Ubuntu 20.04默认启用ufw防火墙，执行ufw status查看规则，测试环境可临时执行ufw disable验证，生产环境按需添加9200端口的放行规则。
• 检查VPC网络ACL：确认VPC层级的网络访问控制列表没有双向拦截9200端口的TCP流量。

第三层：根据使用场景调整ES配置 #

分两种场景选择配置，不要混配：

场景1：测试/内网非生产环境，需明文HTTP访问 #

注意：生产环境禁止关闭安全与SSL配置，避免数据泄露、被勒索攻击

• 挂载到容器的elasticsearch.yml配置文件中添加/修改以下参数：

network.host: 0.0.0.0
xpack.security.enabled: false
xpack.security.enrollment.enabled: false
xpack.security.http.ssl.enabled: false
xpack.security.transport.ssl.enabled: false
discovery.type: single-node # 单节点部署必须配置该参数，避免集群引导阻塞

• 重启ES容器后，直接通过curl http://<EC2私网/公网IP>:9200即可正常访问，无需HTTPS、无需认证。

场景2：生产环境，保留默认SSL安全配置 #

• 不要关闭SSL与安全认证，ES首次启动时会自动生成elastic超级用户的初始密码、CA证书信息，若丢失密码可进入容器执行bin/elasticsearch-reset-password -u elastic -i重置。
• 跨实例访问时必须使用HTTPS协议，curl请求添加-k参数跳过证书校验（生产环境建议将ES的CA证书同步到所有客户端做正规证书校验，避免中间人攻击），访问示例：
  curl -k -u elastic:你的密码 https://<EC2IP>:9200
• 若存在证书IP不匹配报错，可在生成ES HTTP证书时将实例私网IP、公网IP添加到证书SAN条目中。

内容的提问来源于stack exchange，提问作者Paris