curl请求Elasticsearch返回空响应及SSL错误问题咨询

加-k参数仅跳过SSL证书合法性校验，不会解决连接层面的其他问题，空响应基本是以下几类问题导致的：

• 端口与协议不匹配：绝大多数自建Elasticsearch部署中，500端口并非HTTPS监听端口，很多场景下这个端口跑的是明文HTTP服务，甚至根本不是ES进程。用HTTPS协议请求HTTP端口时，SSL握手无法完成，服务端会直接重置连接，curl拿不到任何HTTP响应体，就只会输出空行。
• 服务监听地址限制：如果ES配置文件elasticsearch.yml中network.host仅绑定了127.0.0.1回环地址，跨主机用域名/公网IP请求时，内核会直接丢弃外部连接请求，不会返回任何错误提示。
• 访问控制拦截：前置防火墙、反向代理、ES自带的X-Pack安全模块如果配置了严格拦截规则，未携带合法鉴权信息、源IP不在白名单的请求会被直接丢包，不会返回401/403这类标准HTTP错误码，也会表现为空响应。
• 证书问题只会触发最开始遇到的「颁发者不受信任」报错，不会导致加-k之后的空响应，不用在证书环节浪费时间排查空响应问题。

• 第一步先验证协议匹配性，直接用明文HTTP加verbose参数请求，看完整连接过程：

  curl -v http://website.etc.com:500
  

  如果返回里出现"tagline" : "You Know, for Search"这类ES默认响应，说明之前的问题就是误用HTTPS请求HTTP端口，后续备份流程直接用HTTP地址即可，不需要硬套HTTPS。
• 如果HTTP请求也无响应，先登录ES部署所在主机，查ES实际监听的端口和绑定地址：

  ss -tulnp | grep -i elastic
  

  如果输出显示ES只监听127.0.0.1:9200这类本地端口，就修改elasticsearch.yml中的network.host配置为对应服务网卡的IP，重启ES后再测试外部访问。如果显示ES的HTTPS端口不是500，替换成实际监听的HTTPS端口再请求。
• 确认端口、协议、监听配置都正确后，不要长期用-k跳过证书校验（Ansible自动化流程里跳过证书校验存在中间人攻击风险），把ES集群的CA证书拷贝到执行Ansible任务的节点上，请求时指定CA证书路径即可解决最开始的证书不信任报错：

  curl --cacert /etc/elasticsearch/certs/ca.crt -u 备份账号:对应密码 https://website.etc.com:实际HTTPS端口
  

• 如果带了证书和账号密码还是空响应，检查前置防火墙、安全组规则是否放通了对应端口，以及ES的角色权限配置是否给备份账号开放了快照创建、仓库读写的对应权限。

内容的提问来源于stack exchange，提问作者cluelessengineertrying