如果你的 Elasticsearch 版本比較多或者比較舊，或者沒有設定 TLS 和身份資訊，那麼任何人都有可能直接訪問 Elasticsearch，而使用極限閘道器可以快速的進行修復。

## 使用 Elasticsearch 過濾器來轉發請求

首先定義一個 Elasticsearch 的資源，如下：

```
elasticsearch:
- name: prod
  enabled: true
  endpoint: http://192.168.3.201:9200
```

然後可以使用如下的過濾器來轉發請求到上面定義的 Elasticsearch 資源，名稱為 `prod`：

```
  - elasticsearch:
      elasticsearch: prod
```

有關該過濾器的更多詳情，請參考文件：[elasticsearch filter](https://www.infinilabs.com/docs/latest/gateway/references/filters/elasticsearch/)

## 新增一個簡單的身份驗證

我們進行新增一個基礎的身份驗證，來限制目標叢集的訪問

```
  - basic_auth:
      valid_users:
        medcl: passwd
```

## 開啟 TLS

如果設定了身份，但是沒有設定 TLS 也是不行的，因為 HTTP 是明文傳輸協議，可以非常容易洩露密碼，配置如下：

```
  - name: my_es_entry
    enabled: true
    router: my_router
    max_concurrency: 10000
    network:
      binding: 0.0.0.0:8000
    tls:
      enabled: true
```

透過地址 `https://localhost:8000` 就可以訪問到 `prod` 的 Elasticsearch 叢集。

注意的是，這裡監聽的地址是 `0.0.0.0`，代表本機所有網路卡上的 IP 都進行了監聽，
為了安全起見，你可能需要修改為只監聽本地地址或者指定的網路卡 IP 地址。

## 相容 HTTP 訪問

如果存在遺留的系統沒有辦法切換到新叢集的，可以提供一個新的埠來進行 HTTP 的訪問：

```
  - name: my_unsecure_es_entry
    enabled: true
    router: my_router
    max_concurrency: 10000
    network:
      binding: 0.0.0.0:8001
    tls:
      enabled: false
```

透過地址 `http://localhost:8001` 就可以訪問到 `prod` 的 Elasticsearch 叢集。

## 完整配置如下

```
elasticsearch:
- name: prod
  enabled: true
  endpoint: http://192.168.3.201:9200

entry:
  - name: my_es_entry
    enabled: true
    router: my_router
    max_concurrency: 10000
    network:
      binding: 0.0.0.0:8000
    tls:
      enabled: true
  - name: my_unsecure_es_entry
    enabled: true
    router: my_router
    max_concurrency: 10000
    network:
      binding: 0.0.0.0:8001
    tls:
      enabled: false

flow:
  - name: default_flow
    filter:
      - basic_auth:
          valid_users:
            medcl: passwd
      - elasticsearch:
          elasticsearch: prod
router:
  - name: my_router
    default_flow: default_flow
```

## 效果如下

現在使用閘道器來訪問 Elasticsearch 就需要登陸了，如下：

![](https://www.infinilabs.com/img/blog/proxy_elasticsearch/elasticsearch-login.jpg)

為 Elasticsearch 無縫新增代理和基礎安全

相關文章