Python连接需VPN访问的DNS域名Elasticsearch报连接失败的排查

核心差异定位 #

对比你当前的测试场景和之前IP直连场景的差异，连接失败的核心原因集中在三点：

• 服务接入路径变化：之前IP直连是直接访问ES节点的9200端口，现在域名接入是走GCP Kubernetes的Ingress网关，对外仅开放80/443端口，9200端口不对公网/VPN侧开放。你测试的curl命令能正常通，本质是请求走80端口，经网关转发到内部ES的9200端口，手动追加9200端口的连接尝试必然触发超时。
• 客户端默认嗅探机制冲突：Python Elasticsearch客户端默认开启节点嗅探功能，首次连接成功后会自动拉取ES集群内部节点列表（通常是K8s内部Pod IP/主机名），随后绕过你传入的公网DNS地址，直接尝试连接内部节点地址，最终触发连接失败。
• 鉴权配置写法的兼容问题：把账号密码直接拼接在URL中的写法，在密码包含特殊字符（如@、:、/）时会出现URL解析错误，且高版本客户端已不推荐该写法。

可直接落地的连接代码 #

需要关闭自动嗅探配置，和curl测试的地址保持完全一致，不手动追加9200端口：

from elasticsearch import Elasticsearch
import ssl

# 高版本客户端推荐使用basic_auth替代旧版http_auth
es = Elasticsearch(
    hosts=["http://prod-es-cluster.ai"],
    basic_auth=("es_username", "es_password"),
    verify_certs=False,
    ssl_context=ssl.create_default_context(),
    sniff_on_start=False,  # 关闭启动时的节点嗅探
    sniff_on_connection_fail=False,  # 关闭连接失败时的自动重嗅探
    request_timeout=30
)

# 连通性校验
if not es.ping():
    raise ConnectionError("Elasticsearch连接校验失败")

补充排查提示 #

• 校验Python环境下的域名解析结果：执行python -c "import socket; print(socket.gethostbyname('prod-es-cluster.ai'))"，对比和curl解析的IP是否一致。部分VPN的分流策略会拦截Python进程的DNS请求，导致域名解析失败。
• 不要复用IP直连时期的端口配置：当前流量路径是Ingress网关->内部ES 9200端口，无需手动指定9200端口。
• 确认客户端版本匹配：如果使用的是8.x以上版本的ES服务，需要对应使用8.x版本的Python客户端，避免协议不兼容导致的连接失败。

内容的提问来源于stack exchange，提问作者Praneeth Kumar