Разделение трафика между узлами и клиентами

Elasticsearch имеет возможность так называемых профилей TCP-транспорта, что позволяет ему подключаться к нескольким портам и адресам. Функциональность безопасности Elasticsearch расширяет эти возможности, усиливая безопасность кластера, позволяя разделить транспортный трафик между узлами и трафик клиентского транспорта. Это важно, если трафик клиентского транспорта не является надёжным и потенциально может быть вредоносным. Чтобы разделить трафик между узлами и трафик клиентов, добавьте следующее в elasticsearch.yml:

transport.profiles.client: 
  port: 9500-9600 
  xpack.security:
    type: client 

Если это поддерживается вашей средой, для трафика между узлами можно использовать внутреннюю сеть, а для трафика клиентов — общедоступную сеть, добавив следующее в elasticsearch.yml:

transport.profiles.default.bind_host: 10.0.0.1 
transport.profiles.client.bind_host: 1.1.1.1 

Если отдельные сети недоступны, то фильтрация IP-адресов можно включить для ограничения доступа к профилям.

При использовании SSL для транспорта можно также использовать различные наборы сертификатов для трафика клиентов, добавив следующее в elasticsearch.yml:

transport.profiles.client.xpack.security.ssl.truststore:
  path: /path/to/another/truststore
  password: x-pack-test-password

transport.profiles.client.xpack.security.ssl.keystore:
  path: /path/to/another/keystore
  password: x-pack-test-password

Чтобы изменить стандартное поведение, требующее сертификаты для клиентов транспорта, установите следующее значение в файле elasticsearch.yml:

transport.profiles.client.xpack.security.ssl.client_authentication: none

Это значение сохраняет проверку сертификата активной для трафика между узлами, но снимает требование распределять подписанный сертификат клиентам транспорта.