ES 8.x 生产环境必须手动配置安全、HTTPS证书和节点通信：默认强制启用xpack安全与HTTPS，curl返回401或连接拒绝多因未配证书或9300端口被防火墙/SELinux拦截；rpm安装易因JVM内存超限（如-Xms4g）或权限错误静默失败；discovery.seed_hosts与cluster.initial_master_nodes须严格按节点名和IP:port填写，且node.name不可含下划线。
ES 8.x 在 Linux 上不能靠“装完就跑”应付生产环境，安全、通信、证书这三关不手动过一遍，集群根本起不来——哪怕配置全对，curl http://localhost:9200 返回 401 或连接拒绝，大概率是 HTTPS 强制启用后没配证书，或者节点间 9300 端口被防火墙/SELinux 拦了。
为什么 elasticsearch-8.17.3.rpm 安装后起不来？
rpm 包自带 JDK 17，但默认 jvm.options 里堆内存设为 -Xms4g -Xmx4g，而很多测试机只有 2–4GB 总内存，启动直接 OOM。另外 rpm 安装会把配置文件放在 /etc/elasticsearch/，日志在 /var/log/elasticsearch/，但权限常卡在 elasticsearch 用户上，如果你用 root 启动或改过目录属主，systemctl start elasticsearch 会静默失败。
- 先检查
sudo journalctl -u elasticsearch -n 50 --no-pager，重点看java.lang.OutOfMemoryError或Permission denied - 编辑
/etc/elasticsearch/jvm.options，把-Xms4g -Xmx4g改成-Xms2g -Xmx2g（单节点测试）或更低 - 确认
/var/lib/elasticsearch和/var/log/elasticsearch所有者是elasticsearch:elasticsearch，执行sudo chown -R elasticsearch:elasticsearch /var/lib/elasticsearch /var/log/elasticsearch - 关闭 swap：ES 8.x 默认要求
bootstrap.memory_lock: true，必须关 swap，否则报错memory locking requested for elasticsearch process but memory is not locked，执行sudo swapoff -a并注释/etc/fstab中 swap 行
elasticsearch.yml 里 discovery.seed_hosts 和 cluster.initial_master_nodes 到底填什么？
这两个参数不是可选的——ES 8.x 启动时强制校验，填错或漏填会导致节点卡在 “waiting to join cluster”，日志里反复出现 master_not_discovered_exception。它们不是 IP 列表，而是「能互相连通的候选主节点名称」的集合，且必须与各节点的 node.name 完全一致（包括大小写和中划线）。
-
discovery.seed_hosts填的是其他节点的host:port，端口是 transport 端口（默认9300），例如["192.168.1.10:9300", "192.168.1.11:9300"]；注意不能填域名除非/etc/hosts已解析，也不能填localhost（多机部署时无效） -
cluster.initial_master_nodes必须是初始集群中所有可能当选 master 的节点名，例如["es-master-1", "es-master-2", "es-master-3"]，这个列表只在第一次启动集群时生效，之后增删节点不再修改它 - 每个节点的
node.name必须唯一，且不能含下划线（ES 8.x 不允许），推荐用短横线+数字，如node-1、node-2 - 确保所有节点的
cluster.name完全相同，且不含空格或特殊字符
为什么 curl -k https://localhost:9200 返回 unauthorized？
ES 8.x 默认开启安全特性（xpack.security.enabled: true），HTTP 接口强制 HTTPS + 基础认证，不带证书和凭据的请求一律 401。这不是 bug，是设计如此——你必须显式生成凭证、配置 TLS，或临时关闭安全（仅限测试）。
- 若要保留安全：先用
sudo -u elasticsearch /usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic重置elastic用户密码，再用curl -k -u elastic:<password> https://localhost:9200</password>测试 - 若要临时关安全（仅开发）：在
elasticsearch.yml加两行：xpack.security.enabled: false和xpack.security.http.ssl.enabled: false，然后重启服务 - 证书路径必须正确：如果启用了 HTTPS，
elasticsearch.yml中需指定xpack.security.http.ssl.certificate: /etc/elasticsearch/certs/http.p12和xpack.security.http.ssl.key: /etc/elasticsearch/certs/http.p12，且该文件属主必须是elasticsearch - 别忽略
curl -k的-k参数——ES 自签证书默认不被系统信任，不加会报 SSL handshake failed
多节点集群里节点无法互相发现，常见堵点在哪？
节点发现失败，90% 是网络层或系统层拦截，而不是配置写错。ES 日志里看到 failed to resolve host 或 connection refused 时，别急着改 yml，先做三件事。
- 确认所有节点的
network.host不是localhost或127.0.0.1，应设为本机可路由 IP（如192.168.1.10）或0.0.0.0（生产慎用，需配防火墙） - 在任意节点上执行
telnet 192.168.1.11 9300（替换为目标 IP），不通就说明9300端口没开或被拦——CentOS/RHEL 默认开firewalld，需运行sudo firewall-cmd --add-port=9300/tcp --permanent && sudo firewall-cmd --reload - 检查 SELinux：若为
enforcing模式，ES 的 socket 绑定会被拒，临时关掉验证：sudo setenforce 0；长期方案是写 SELinux 策略或切到permissive - 同一台机器跑多个节点时，必须区分
http.port和transport.port，例如 node-1 用9200/9300，node-2 改成9201/9301，否则端口冲突直接启动失败
最易被忽略的其实是证书权限和 JVM 锁内存——前者导致 HTTPS 握手失败却不报错具体原因，后者让服务在日志里安静退出。别信“配置没问题就应该起来”，ES 8.x 的容错比 7.x 低得多，每一步都得亲手验证输出，而不是只看 systemctl status。
