Docker环境下Elasticsearch 5周期性故障求助：路由异常但网络正常

兄弟，你这种Docker环境下Elasticsearch 5周期性出现传输层异常、还报"No route to host"但ping完全正常的问题我之前帮人排查过好几次，大概率是Docker网络或者ES自身的资源/配置坑，给你几个实战性的排查方向：

1. 先搞定Docker连接跟踪表溢出的问题 #

Docker默认用iptables的连接跟踪表来管理容器间连接，ES这种长连接多的服务很容易把表占满，导致传输层直接丢包但ICMP（ping）不受影响。

• 先查当前连接数和上限：

  cat /proc/sys/net/netfilter/nf_conntrack_count
  cat /proc/sys/net/netfilter/nf_conntrack_max
  

如果当前数接近上限，直接调大：

echo "net.netfilter.nf_conntrack_max=1048576" >> /etc/sysctl.conf
sysctl -p

同时给ES加上TCP保活配置，避免连接被莫名回收，在elasticsearch.yml里加：

transport.tcp.keep_alive: true
transport.tcp.compress: true

2. 检查容器资源与ES JVM配置 #

ES 5.x对内存极其敏感，内存不够导致JVM频繁GC甚至OOM时，会出现各种诡异的传输层异常：

• 确保Docker Compose给ES分配了足够内存，比如：

  services:
    elasticsearch:
      mem_limit: 4g
      environment:
        - ES_JAVA_OPTS=-Xms2g -Xmx2g
  

• 查看ES的GC日志，有没有频繁Full GC：

  docker logs <你的ES容器ID> | grep GC
  

如果GC炸了，要么调大JVM堆，要么给ES 5.x配置CMS垃圾收集器（默认是ParallelGC，对长连接服务不太友好）。

3. 排查Docker DNS的间歇性故障 #

虽然你说能解析名称，但Docker的DNS缓存偶尔会抽风，导致传输层连接解析异常。可以试试：

• 重启Docker服务刷新DNS：systemctl restart docker
• 临时把ES集群配置里的主机名换成容器IP，看看还会不会出问题，如果用IP就正常，那就是DNS的锅，直接固定IP或者用Docker的静态主机名配置。

4. 检查宿主机防火墙/iptables规则 #

有时候宿主机的安全工具（比如firewalld、fail2ban）会自动添加规则，阻断ES的传输端口（默认9300），而且是间歇性的：

• 先看当前iptables规则，确认Docker链和9300端口是允许的：

  iptables -L -n
  

• 临时关闭防火墙测试：systemctl stop firewalld（测试完记得开回来），如果关闭后不再出问题，就给ES端口加永久放行规则。

5. 调整ES集群的网络发现配置 #

ES 5.x的集群发现如果配置不当，会导致节点间歇性失联，表现为传输层异常：

• 确保discovery.zen.ping.unicast.hosts配置成明确的节点列表，别用动态主机名（除非DNS绝对靠谱）
• 确认discovery.zen.ping.multicast是关闭的（ES 5.x默认关闭，但最好检查下）
• 调大ping超时时间，避免网络抖动导致误判：

  discovery.zen.ping_timeout: 30s
  

内容的提问来源于stack exchange，提问作者Martin