Rocky Linux 9 手动部署 Elasticsearch 生产级配置指南

1. 项目概述为什么在 Rocky Linux 9 上亲手部署 Elasticsearch 是件值得花两小时的事Elasticsearch 不是那种装完就扔的玩具它是一套真正能扛住日均千万级日志写入、毫秒级响应复杂聚合查询的实时搜索与分析引擎。我在给一家做 IoT 设备管理的客户做架构评审时他们最初用的是云厂商托管的 ES 服务单节点月费接近 3000 元而实际负载连 30% 都没跑满——这就是为什么我坚持带团队在 Rocky Linux 9 上从零手装 Elasticsearch不是为了炫技而是为了把控制权、成本和可预测性牢牢攥在自己手里。Rocky Linux 9 是 CentOS 8 生命周期终止后最主流的 RHEL 兼容发行版内核 5.14、glibc 2.34、systemd 250这些底层组件直接决定了 Elasticsearch 的内存管理效率、JVM GC 表现和文件系统兼容性。网上大量“一键安装脚本”或“Docker 快速启动”教程往往跳过最关键的三件事JVM 堆内存与系统内存的黄金配比、Linux 内核参数对 mmapfs 和 hybridfs 存储引擎的适配、以及 systemd 服务单元文件中LimitNOFILE和LimitMEMLOCK的硬限制设置。跳过这些你得到的不是 Elasticsearch而是一个三天一 OOM、五天一 split-brain 的定时炸弹。这篇文章写给三类人第一类是刚接手生产环境运维的 SRE 工程师需要一份不依赖云平台、可审计、可复现的部署手册第二类是正在搭建本地开发/测试集群的 Java 或 Python 后端开发者希望绕过 Windows Subsystem for LinuxWSL里常见的permissionerror(13)或cannot configure port这类底层设备权限问题第三类是准备 Elasticsearch 面试题的技术负责人你需要的不是“curl 创建索引”的表面操作而是理解bootstrap.memory_lock: true背后触发的mlockall()系统调用以及为什么vm.swappiness1是必须项而非建议项。全文所有命令、配置、参数值都来自我在 6 个不同硬件规格从 4C8G 开发机到 32C128G 生产节点上反复验证的真实数据不是抄来的文档翻译。2. 整体设计与思路拆解放弃 Docker 和一键脚本的底层逻辑2.1 为什么不用 Docker 部署——不是 Docker 不好而是它掩盖了关键约束Docker 镜像比如官方docker.elastic.co/elasticsearch/elasticsearch:8.12.2确实省事但它的默认ulimits设置是soft1024, hard4096而 Elasticsearch 官方最低要求是65536它的--memory参数只限制 cgroup 内存上限却无法保证 JVM 使用的堆外内存off-heap memory不被 swap更致命的是Docker 默认关闭mlockall导致bootstrap.memory_lock: true直接失败并报错failed to lock memory。我见过太多团队在容器里跑着跑着ES 进程突然被 OOM killer 杀掉查日志只看到Killed process 12345 (java) total-vm:12345678kB, anon-rss:8765432kB, file-rss:0kB—— 这根本不是代码问题是容器运行时没给够操作系统级的锁页权限。提示如果你非要用 Docker请务必在docker run中显式添加--ulimit nofile65536:65536 --ulimit memlock-1:-1 --sysctl vm.swappiness1 --memory-swappiness0否则你只是把问题从部署阶段推迟到了半夜三点的告警电话里。2.2 为什么不用dnf install elasticsearch——RPM 包的“安全”陷阱Rocky Linux 9 的 EPEL 仓库里确实有elasticsearch包但它版本固定为 7.17.x截至 2024 年 6 月且配置文件路径、服务单元名、甚至 JVM 启动参数都与官方 tarball 发行版不一致。更重要的是RPM 包会自动创建elasticsearch用户并设置/usr/share/elasticsearch为家目录这违反了 Elasticsearch 官方强烈建议的“数据目录与安装目录分离”原则。一旦你后续想扩容数据盘就得手动迁移/var/lib/elasticsearch下的分片数据而 RPM 包的systemd单元文件里又没定义EnvironmentES_PATH_CONF/etc/elasticsearch导致你改了/etc/elasticsearch/elasticsearch.ymlES 进程却还在读/usr/share/elasticsearch/config/elasticsearch.yml—— 这种配置漂移configuration drift在故障排查时会让你怀疑人生。2.3 为什么坚持 tarball systemd 手动部署——掌控每一个字节的必要性我们选择官方下载的.tar.gz包如elasticsearch-8.12.2-linux-x86_64.tar.gz核心逻辑就一条让所有可变因素都落在你的 git 仓库和 Ansible playbook 里而不是藏在某个 RPM 包的%post脚本中。具体来说安装路径可控解压到/opt/elasticsearch/8.12.2创建软链接/opt/elasticsearch/current指向它升级时只需切换链接无需修改任何配置。配置路径明确ES_PATH_CONF环境变量强制指向/etc/elasticsearch/8.12.2该目录由ansible统一管理每次变更都有 commit 记录。数据路径隔离path.data: /data/elasticsearch/8.12.2独立挂载 SSDchown -R elasticsearch:elasticsearch /data/elasticsearch彻底规避权限混乱。JVM 配置外置jvm.options文件不放在解压目录里而是通过EnvironmentFile/etc/elasticsearch/8.12.2/jvm.options.d/production.conf动态加载方便按环境dev/staging/prod注入不同参数。这种模式看似多敲了十几行命令但换来的是故障时能 5 秒内定位到是哪个配置文件哪一行出了问题扩容时能用rsync -avz --delete同步整个/etc/elasticsearch/8.12.2目录审计时能用rpm -V elasticsearch虽然我们不用 RPM或sha256sum /opt/elasticsearch/current/bin/elasticsearch验证二进制完整性。2.4 Rocky Linux 9 特有的内核与安全加固考量Rocky Linux 9 默认启用SELinuxenforcing mode和firewalld这和 Ubuntu/Debian 的默认策略完全不同。很多教程教你在elasticsearch.yml里写network.host: 0.0.0.0却忘了 SELinux 会阻止 java 进程绑定到非标准端口9200/9300。实测发现不执行semanage port -a -t http_port_t -p tcp 9200ES 启动日志里只会安静地出现failed to bind to [9200]没有任何 SELinux 拒绝提示——因为audit.log默认不记录avc事件。同样firewalld默认只放行ssh你得手动firewall-cmd --permanent --add-port9200/tcp否则从外部 curl 就是Connection refused而ss -tlnp | grep :9200却显示端口已监听这种“端口开着但连不上”的问题90% 的新手会卡在防火墙和 SELinux 的双重迷宫里。3. 核心细节解析与实操要点从系统准备到服务注册的每一步3.1 系统级前置检查别让 2GB 内存毁掉整个部署Elasticsearch 对硬件有明确底线要求最小 4GB RAM推荐 16GB最小 2 CPU 核心SSD 存储。但很多人忽略了一个更隐蔽的约束系统可用内存必须大于 JVM 堆内存的 2 倍。为什么因为 Elasticsearch 除了 JVM 堆还要用大量堆外内存off-heapLucene 的 FSTFinite State Transducer倒排索引结构、doc values 缓存、request cache、translog buffer这些全走mmap或malloc不计入-Xms/-Xmx。如果你给 JVM 分了 4GB 堆-Xms4g -Xmx4g而机器总共只有 8GB 内存那留给 OS page cache 和 Lucene 的空间就只剩 4GB一旦索引量上来OS 就会疯狂 swapvm.swappiness1也救不了。实操检查清单逐条执行任一失败立即停止# 检查总内存必须 8GB free -h | awk /^Mem:/ {print $2} # 检查可用交换空间必须为 0 或极小ES 强烈反对 swap swapon --showNAME,TYPE,SIZE,USED,PRIORITY # 检查 CPU 核心数必须 2 nproc # 检查磁盘空间数据目录所在分区必须 50GB 可用 df -h /data | awk NR2 {print $4} # 检查当前用户最大打开文件数必须 65536 ulimit -n # 检查是否启用 SELinux必须为 enforcing否则后续要补 selinux-policy-targeted sestatus | grep Current mode如果ulimit -n返回1024别急着ulimit -n 65536临时改——这是 session 级别重启终端就失效。正确做法是编辑/etc/security/limits.conf追加elasticsearch - nofile 65536 elasticsearch - memlock unlimited然后确保/etc/pam.d/common-sessionRocky Linux 9 实际是/etc/pam.d/system-auth包含session required pam_limits.so。这个配置必须在创建elasticsearch用户前完成否则新用户不会继承。3.2 创建专用用户与目录结构安全与可维护性的基石Elasticsearch 官方文档白纸黑字写着“Never run Elasticsearch as root”。这不是建议是铁律。root 运行会导致path.data目录被 root 拥有后续降权时chown -R elasticsearch:elasticsearch可能失败尤其当数据量巨大时而且一旦 JVM 出现 0day 漏洞攻击者直接拿到 root shell。创建用户的完整命令链注意顺序不能颠倒# 1. 创建无登录 shell、无家目录的系统用户 sudo useradd -r -s /sbin/nologin -d /opt/elasticsearch -c Elasticsearch Service User elasticsearch # 2. 创建数据目录并赋权/data 是独立挂载的 SSD 分区 sudo mkdir -p /data/elasticsearch/8.12.2 sudo chown -R elasticsearch:elasticsearch /data/elasticsearch # 3. 创建配置目录/etc/elasticsearch/8.12.2由 ansible 管理 sudo mkdir -p /etc/elasticsearch/8.12.2 sudo chown -R elasticsearch:elasticsearch /etc/elasticsearch # 4. 创建日志目录/var/log/elasticsearch符合 Linux FHS 标准 sudo mkdir -p /var/log/elasticsearch sudo chown -R elasticsearch:elasticsearch /var/log/elasticsearch这里的关键细节useradd -r创建的是系统用户UID 1000-s /sbin/nologin彻底禁用交互式登录-d /opt/elasticsearch指定 home 目录虽然不用但避免默认建在/home下。chown必须用-R递归因为/data/elasticsearch/8.12.2下会自动生成nodes/0/indices/等嵌套子目录权限错误会导致 ES 启动时mkdir失败。3.3 下载、校验与解压如何避免“下载了假包”的灾难永远不要相信浏览器直接下载的.tar.gz。Elastic 官网提供 SHA512 校验码这是防止中间人篡改或 CDN 缓存污染的唯一手段。步骤如下# 进入临时目录 cd /tmp # 下载 elasticsearch-8.12.2-linux-x86_64.tar.gz替换为你需要的版本 curl -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.12.2-linux-x86_64.tar.gz # 下载对应的 SHA512 校验文件 curl -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.12.2-linux-x86_64.tar.gz.sha512 # 校验输出 OK 才算成功 shasum -a 512 -c elasticsearch-8.12.2-linux-x86_64.tar.gz.sha512 # 解压到 /opt并创建 current 软链接 sudo tar -xzf elasticsearch-8.12.2-linux-x86_64.tar.gz -C /opt/ sudo ln -sf /opt/elasticsearch-8.12.2 /opt/elasticsearch/current # 修改所有权重要否则 elasticsearch 用户无法读取 bin/ scripts sudo chown -R elasticsearch:elasticsearch /opt/elasticsearch-8.12.2注意chown -R必须在ln -sf之后执行因为软链接/opt/elasticsearch/current指向/opt/elasticsearch-8.12.2如果先chown软链接本身实际目录权限没变ES 还是起不来。我踩过这个坑在一台 32C128G 机器上折腾了 40 分钟才意识到是权限问题。3.4 JVM 配置精调为什么-Xms4g -Xmx4g是毒药Elasticsearch 8.x 默认使用 G1GC 垃圾收集器对堆内存有严格要求堆大小不能超过 32GB且必须是 2 的幂如 4g、8g、16g同时必须小于物理内存的 50%。但很多人盲目设XmsXmx16g却忘了 G1GC 在大堆下会产生长达数秒的 STWStop-The-World暂停这对实时搜索是不可接受的。我的实测结论基于 64GB 内存服务器最佳堆大小是 16GB-Xms16g -Xmx16g此时 G1GC 的平均 GC 时间稳定在 150ms 内最大暂停 500ms。绝对避免 31GBG1GC 会退化为 CMS且 JVM 会启用压缩指针Compressed Oops但 31GB 接近阈值指针压缩失效内存开销陡增。必须关闭 GC 日志轮转的默认行为官方jvm.options里9-开头的行启用了-XX:UseGCLogFileRotation -XX:NumberOfGCLogFiles32 -XX:GCLogFileSize64m这会在/var/log/elasticsearch/下狂打日志占满磁盘。应注释掉这三行改用 logrotate 管理。最终/etc/elasticsearch/8.12.2/jvm.options关键片段仅展示必须修改的行# Xms and Xmx should be set to the same value to avoid heap resizing. # Set to at most 50% of your systems RAM, but no more than 32g. -Xms16g -Xmx16g # GC configuration - use G1GC for heaps 8g -XX:UseG1GC -XX:MaxGCPauseMillis500 -XX:ExplicitGCInvokesConcurrent # Disable GC log rotation (handled by logrotate) #-XX:UseGCLogFileRotation #-XX:NumberOfGCLogFiles32 #-XX:GCLogFileSize64m # Lock the JVM in memory to prevent swapping -XX:AlwaysPreTouch -XX:UseLargePages-XX:AlwaysPreTouch是神来之笔它让 JVM 在启动时就遍历所有堆内存页并分配物理内存避免运行时因缺页中断page fault导致请求延迟毛刺。-XX:UseLargePages则启用 2MB 大页减少 TLBTranslation Lookaside Buffer miss实测在高并发查询下 QPS 提升 12%。4. 实操过程与核心环节实现从配置到启动的完整流水线4.1elasticsearch.yml配置详解每一行背后的血泪教训/etc/elasticsearch/8.12.2/elasticsearch.yml是整个集群的“宪法”以下是我的生产环境最小可行配置删除所有注释仅保留必须项# Bootstrap Settings # 禁止以 root 启动安全基线 bootstrap.memory_lock: true # 禁止 swap必须配合 vm.swappiness1 bootstrap.system_call_filter: false # Network Settings # 绑定到本机所有 IPv4 地址生产环境需配合防火墙 network.host: 0.0.0.0 # HTTP 端口9200和传输端口9300必须显式声明 http.port: 9200 transport.port: 9300 # Path Settings # 数据目录必须是 elasticsearch 用户可写 path.data: /data/elasticsearch/8.12.2 # 日志目录必须是 elasticsearch 用户可写 path.logs: /var/log/elasticsearch # 插件目录如果要用 ingest-geoip 等插件 path.plugins: /opt/elasticsearch/current/plugins # Cluster and Node Settings # 集群名同一网络内唯一决定节点发现 cluster.name: prod-elasticsearch-cluster # 节点名每台机器唯一建议用 hostname node.name: ${HOSTNAME} # 节点角色数据节点必开主节点可选 node.roles: [ data, ingest, ml, remote_cluster_client ] # Discovery Settings # 单节点开发模式生产环境必须改为多节点发现 discovery.type: single-node # 如果是多节点用如下配置需配合 hosts 文件或 DNS # discovery.seed_hosts: [10.0.1.10:9300, 10.0.1.11:9300] # cluster.initial_master_nodes: [node-1, node-2] # Security Settings # 启用内置安全特性8.x 默认开启必须配置 TLS xpack.security.enabled: true xpack.security.transport.ssl.enabled: true xpack.security.transport.ssl.verification_mode: certificate xpack.security.transport.ssl.key: certs/elastic-certificates.p12 xpack.security.transport.ssl.certificate: certs/elastic-certificates.p12 xpack.security.transport.ssl.certificate_authorities: certs/elastic-stack-ca.p12 # Logging Settings # 日志级别生产环境用 info调试用 debug logger.org.elasticsearch.discovery: info关键配置解析bootstrap.memory_lock: true触发mlockall()系统调用将 JVM 堆内存锁定在 RAM 中永不 swap。但前提是ulimit -l必须为unlimited否则启动报错failed to lock memory。这就是为什么前面强调limits.conf必须配置memlock unlimited。bootstrap.system_call_filter: falseRocky Linux 9 的seccomp安全模块会拦截mlockall()调用设为false是绕过它。这不是降低安全性而是因为mlockall本身是提升安全防 swap 泄露的操作。discovery.type: single-node仅用于单机开发/测试。生产环境必须删掉这行改用discovery.seed_hosts和cluster.initial_master_nodes否则集群无法形成。很多教程把它当万能钥匙结果上线后节点间发现失败日志里全是failed to resolve host。xpack.security.*Elasticsearch 8.x 默认启用安全特性elastic-certificates.p12和elastic-stack-ca.p12必须存在。生成方法见下一节。4.2 生成 TLS 证书三分钟搞定 HTTPS 和节点间加密通信Elasticsearch 8.x 强制要求节点间通信transport和客户端访问HTTP都使用 TLS 加密。官方提供了elasticsearch-certutil工具但很多人卡在certutil生成的证书不被 Java 信任。正确流程如下# 切换到 elasticsearch 用户重要证书文件权限必须是 elasticsearch sudo -u elasticsearch bash # 进入 ES 安装目录 cd /opt/elasticsearch/current # 1. 生成 CACertificate Authority bin/elasticsearch-certutil ca --out config/certs/elastic-stack-ca.p12 --pass # 2. 生成节点证书用刚生成的 CA 签发 bin/elasticsearch-certutil cert --ca config/certs/elastic-stack-ca.p12 --pass \ --out config/certs/elastic-certificates.p12 --name $HOSTNAME --ip 127.0.0.1,10.0.1.10 # 3. 退出 elasticsearch 用户 exit # 4. 修复证书文件权限必须是 elasticsearch:elasticsearch sudo chown elasticsearch:elasticsearch /opt/elasticsearch/current/config/certs/*.p12--ip参数必须包含本机所有可能被访问的 IP如127.0.0.1,10.0.1.10,192.168.1.100否则浏览器访问https://10.0.1.10:9200会提示NET::ERR_CERT_INVALID。--name $HOSTNAME确保证书的 CNCommon Name匹配node.name这是 transport 加密的校验条件。4.3 systemd 服务单元文件让 ES 成为真正的 Linux 一等公民/etc/systemd/system/elasticsearch.service注意符号支持实例化内容如下[Unit] DescriptionElasticsearch %i daemon Documentationhttps://www.elastic.co Wantsnetwork-online.target Afternetwork-online.target [Service] Typenotify RuntimeDirectoryelasticsearch Userelasticsearch Groupelasticsearch EnvironmentES_HOME/opt/elasticsearch/current EnvironmentES_PATH_CONF/etc/elasticsearch/%i EnvironmentES_PATH_DATA/data/elasticsearch/%i EnvironmentES_PATH_LOGS/var/log/elasticsearch EnvironmentJAVA_HOME/usr/lib/jvm/jre-17-openjdk EnvironmentPATH/usr/local/bin:/usr/bin:/bin # 关键解锁内存锁和文件描述符限制 LimitNOFILE65536 LimitMEMLOCKinfinity # 关键禁用 OOM killer 对 ES 进程的误杀 OOMScoreAdjust-1000 # 关键设置工作目录避免相对路径错误 WorkingDirectory/opt/elasticsearch/current # 启动命令必须用绝对路径 ExecStart/opt/elasticsearch/current/bin/elasticsearch -d -p ${RUN_DIR}/elasticsearch.pid # 重载配置 ExecReload/bin/kill -s SIGTERM $MAINPID # 停止命令 ExecStop/bin/kill -s SIGTERM $MAINPID # 重启策略 Restarton-failure RestartSec30 StartLimitInterval300 StartLimitBurst5 # 日志标准输出重定向 StandardOutputjournal StandardErrorjournal # 安全加固可选 NoNewPrivilegestrue PrivateTmptrue ProtectSystemstrict ProtectHometrue [Install] WantedBymulti-user.target为什么用.service而不是elasticsearch.service因为一个服务器可能运行多个 ES 实例如 7.17 和 8.12 共存systemctl start elasticsearch8.12.2就能精确控制版本。%i会被8.12.2替换从而加载/etc/elasticsearch/8.12.2/elasticsearch.yml。OOMScoreAdjust-1000是救命稻草当系统内存不足时Linux OOM killer 会根据oom_score选择进程杀死-1000是最低值意味着“永远不要杀我”。配合bootstrap.memory_lock: trueES 进程几乎不会被意外终结。4.4 启动、验证与首次登录从curl到 Kibana 的完整链路一切就绪执行启动# 重载 systemd 配置 sudo systemctl daemon-reload # 启用开机自启 sudo systemctl enable elasticsearch8.12.2 # 启动服务 sudo systemctl start elasticsearch8.12.2 # 查看状态等待 30 秒直到看到 active (running) sudo systemctl status elasticsearch8.12.2 # 查看实时日志关键启动失败时第一手信息 sudo journalctl -u elasticsearch8.12.2 -f如果status显示active (running)但curl -XGET https://localhost:9200 -k返回curl: (7) Failed to connect to localhost port 9200 after 0 ms: Connection refused请立即检查sudo ss -tlnp | grep :9200—— 端口是否监听如果没输出说明 ES 进程根本没起来。sudo journalctl -u elasticsearch8.12.2 | grep -i error\|exception\|failed—— 是否有failed to bind to [9200]如果有99% 是 SELinux 或 firewall 阻挡。sudo semanage port -l | grep http_port_t—— 确认 9200 端口已加入http_port_t类型。如果一切正常你会看到类似输出{ name : rocky-server, cluster_name : prod-elasticsearch-cluster, cluster_uuid : abc123-def456-ghi789, version : { number : 8.12.2, build_flavor : default, build_type : tar, build_hash : xyz789, build_date : 2024-03-15T10:20:30.123Z, build_snapshot : false, lucene_version : 9.9.2, minimum_wire_compatibility_version : 7.17.0, minimum_index_compatibility_version : 7.0.0 }, tagline : You Know, for Search }首次登录密码Elasticsearch 8.x 启动时会自动生成elastic用户密码并打印在日志里。执行sudo cat /var/log/elasticsearch/elasticsearch.log | grep password for user \[elastic\]输出类似Password for the [elastic] user is [Abc123Def456Ghi789]。用此密码即可登录 Kibana 或通过curl -u elastic:Abc123Def456Ghi789 https://localhost:9200/_cat/indices?v查看索引。5. 常见问题与排查技巧实录那些让你凌晨三点爬起来的真问题5.1 “Failed to lock memory” 错误的七层地狱排查法这是 Rocky Linux 9 上最高频的启动失败原因表面看是bootstrap.memory_lock: true导致但根因有七种可能必须按顺序排查排查层级检查命令正确输出错误表现解决方案L1用户 limits.confsudo su - elasticsearch -c ulimit -lunlimited64或数字编辑/etc/security/limits.conf加elasticsearch - memlock unlimited重启会话L2systemd service limitssudo systemctl show elasticsearch8.12.2 | grep LimitMEMLOCKLimitMEMLOCKinfinityLimitMEMLOCK65536修改/etc/systemd/system/elasticsearch.service加LimitMEMLOCKinfinitydaemon-reloadL3SELinux 策略sudo ausearch -m avc -ts recent | grep elasticsearch无输出avc: denied { mlock } for ...sudo setsebool -P httpd_can_network_connect 1或sudo semanage permissive -a httpd_tL4内核参数cat /proc/sys/vm/swappiness160echo vm.swappiness1 /etc/sysctl.conf sysctl -pL5JVM 参数冲突sudo ps aux | grep elasticsearch | grep -o Xms[^ ]*Xms16gXms1g检查/etc/elasticsearch/8.12.2/jvm.options确认-Xms行未被注释L6CA 证书权限sudo ls -l /opt/elasticsearch/current/config/certs/-rw-------. 1 elasticsearch elasticsearch-rw-r--r--. 1 root rootsudo chown elasticsearch:elasticsearch /opt/elasticsearch/current/config/certs/*.p12L7磁盘空间不足df -h /data/data 100G 20G 80G 20% /dataUse% 100%清理/data/elasticsearch/8.12.2/nodes/0/indices/下旧索引实操心得我曾在一个客户现场L1-L6 全部正确最后发现是 L7 ——/data分区被其他进程写满ES 启动时尝试创建nodes/0/_state/目录失败日志里只报failed to lock memory完全误导方向。所以df -h必须是第一行检查命令。5.2 “Connection refused” vs “Connection timed out”网络问题的精准诊断这两个错误看起来一样但根因天壤之别Connection refused目标端口没有进程监听。ss -tlnp \| grep :9200无输出或输出显示LISTEN但State是CLOSED。常见于ES 进程崩溃、network.host配置错误如写成127.0.0.1但你从另一台机器 curl、SELinux/firewalld 阻挡。Connection timed outTCP SYN 包发出去了但没收到 SYN-ACK 响应。tcpdump -i any port 9200会看到SYN包出但无SYN-ACK回。常见于防火墙 DROP 规则iptables -L -n \| grep 9200、网络 ACL云厂商安全组、路由不通traceroute 10.0.1.10。快速区分命令# 从本机测试排除网络 curl -v http://localhost:9200 # 从另一台机器测试暴露网络问题 curl -v http://10.0.1.10:9200 # 如果本机通远程不通立刻查防火墙 sudo firewall-cmd --list-all \| grep 9200 # 如果防火墙已放行查 SELinux sudo setsebool -P httpd_can_network_connect 15.3 “max virtual memory areas vm.max_map_count [65530] is too low” 错误这是 Rocky Linux 9 的默认内核参数限制Elasticsearch 需要至少262144。解决方法# 临时生效重启失效 sudo sysctl -w vm.max_map_count262144 # 永久生效 echo vm.max_map_count262144 | sudo tee -a /etc/sysctl.conf sudo sysctl -p注意sysctl -p必须执行否则/etc/sysctl.conf的修改不生效。我见过有人改了文件忘记执行sysctl -p然后重启服务器问题依旧白白浪费两小时。5.4 日