Установка собственных сертификатов вместо создаваемых самим эластиком

pr0b3l · April 12, 2019, 1:02pm

Добрый день!

Есть необходимость использовать сертификаты, созданные не самим эластиком, а выданные центром сертификации.
Пробовал вставить их вместо, ELK стали возникать ошибки в javakeystore.
Подскажите, куда копать, что необходимо дополнительно сделать?

ELK версии 6.6.
OS RedHat 7

Igor_Motov · April 12, 2019, 2:47pm

Как пробовали вставлять? Какие ошибки возникают?

pr0b3l · April 16, 2019, 3:15pm

Вот в таком формате работает

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.keystore.path: /etc/elasticsearch/certs/server1.p12
xpack.security.transport.ssl.truststore.path: /etc/elasticsearch/certs/server1.p12

А вот так, нет:

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.ssl.key: /etc/elasticsearch/certs/self-server1.key
xpack.ssl.certificate: /etc/elasticsearch/certs/self-server1.cer
xpack.ssl.certificate_authorities: ["/etc/elasticsearch/certs/rootca.cer"]

Warning-и следующие:

[2019-04-16T15:49:47,183][WARN ][o.e.x.s.t.n.SecurityNetty4ServerTransport] [server1] send message failed [channel: NettyTcpChannel{localAddress=/IP_ADDRESS1:50620, remoteAddress=/IP_ADDRESS3:9300}]
javax.net.ssl.SSLException: SSLEngine closed already
        at io.netty.handler.ssl.SslHandler.wrap(...)(Unknown Source) ~[?:?]
[2019-04-16T15:49:47,192][WARN ][o.e.x.s.t.n.SecurityNetty4ServerTransport] [server1] send message failed [channel: NettyTcpChannel{localAddress=/IP_ADDRESS1:44900, remoteAddress=/IP_ADDRESS2:9300}]
javax.net.ssl.SSLException: SSLEngine closed already
        at io.netty.handler.ssl.SslHandler.wrap(...)(Unknown Source) ~[?:?]
[2019-04-16T15:49:47,201][WARN ][o.e.x.s.t.n.SecurityNetty4ServerTransport] [server1] exception caught on transport layer [NettyTcpChannel{localAddress=/IP_ADDRESS1:44900, remoteAddress=/IP_ADDRESS2:9300}], closing connection
io.netty.handler.codec.DecoderException: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
        at io.netty.handler.codec.ByteToMessageDecoder.callDecode(ByteToMessageDecoder.java:472) ~[netty-codec-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.codec.ByteToMessageDecoder.channelRead(ByteToMessageDecoder.java:278) ~[netty-codec-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.AbstractChannelHandlerContext.invokeChannelRead(AbstractChannelHandlerContext.java:362) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.AbstractChannelHandlerContext.invokeChannelRead(AbstractChannelHandlerContext.java:348) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.AbstractChannelHandlerContext.fireChannelRead(AbstractChannelHandlerContext.java:340) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.DefaultChannelPipeline$HeadContext.channelRead(DefaultChannelPipeline.java:1434) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.AbstractChannelHandlerContext.invokeChannelRead(AbstractChannelHandlerContext.java:362) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.AbstractChannelHandlerContext.invokeChannelRead(AbstractChannelHandlerContext.java:348) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.DefaultChannelPipeline.fireChannelRead(DefaultChannelPipeline.java:965) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.nio.AbstractNioByteChannel$NioByteUnsafe.read(AbstractNioByteChannel.java:163) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.nio.NioEventLoop.processSelectedKey(NioEventLoop.java:644) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.nio.NioEventLoop.processSelectedKeysPlain(NioEventLoop.java:544) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.nio.NioEventLoop.processSelectedKeys(NioEventLoop.java:498) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.channel.nio.NioEventLoop.run(NioEventLoop.java:458) [netty-transport-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.util.concurrent.SingleThreadEventExecutor$5.run(SingleThreadEventExecutor.java:897) [netty-common-4.1.30.Final.jar:4.1.30.Final]
        at java.lang.Thread.run(Thread.java:748) [?:1.8.0_191]
Caused by: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
        at sun.security.ssl.Handshaker.checkThrown(Handshaker.java:1521) ~[?:?]
        at sun.security.ssl.SSLEngineImpl.checkTaskThrown(SSLEngineImpl.java:528) ~[?:?]
        at sun.security.ssl.SSLEngineImpl.readNetRecord(SSLEngineImpl.java:802) ~[?:?]
        at sun.security.ssl.SSLEngineImpl.unwrap(SSLEngineImpl.java:766) ~[?:?]
        at javax.net.ssl.SSLEngine.unwrap(SSLEngine.java:624) ~[?:1.8.0_191]
        at io.netty.handler.ssl.SslHandler$SslEngineType$3.unwrap(SslHandler.java:294) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.ssl.SslHandler.unwrap(SslHandler.java:1297) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.ssl.SslHandler.decodeJdkCompatible(SslHandler.java:1199) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.ssl.SslHandler.decode(SslHandler.java:1243) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.codec.ByteToMessageDecoder.decodeRemovalReentryProtection(ByteToMessageDecoder.java:502) ~[netty-codec-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.codec.ByteToMessageDecoder.callDecode(ByteToMessageDecoder.java:441) ~[netty-codec-4.1.30.Final.jar:4.1.30.Final]
        ... 15 more
Caused by: javax.net.ssl.SSLHandshakeException: General SSLEngine problem
        at sun.security.ssl.Alerts.getSSLException(Alerts.java:192) ~[?:?]
        at sun.security.ssl.SSLEngineImpl.fatal(SSLEngineImpl.java:1709) ~[?:?]
        at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:318) ~[?:?]
        at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:310) ~[?:?]
        at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1639) ~[?:?]
        at sun.security.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:223) ~[?:?]
        at sun.security.ssl.Handshaker.processLoop(Handshaker.java:1037) ~[?:?]
        at sun.security.ssl.Handshaker$1.run(Handshaker.java:970) ~[?:?]
        at sun.security.ssl.Handshaker$1.run(Handshaker.java:967) ~[?:?]
        at java.security.AccessController.doPrivileged(Native Method) ~[?:1.8.0_191]
        at sun.security.ssl.Handshaker$DelegatedTask.run(Handshaker.java:1459) ~[?:?]
        at io.netty.handler.ssl.SslHandler.runDelegatedTasks(SslHandler.java:1457) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.ssl.SslHandler.unwrap(SslHandler.java:1365) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.ssl.SslHandler.decodeJdkCompatible(SslHandler.java:1199) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.ssl.SslHandler.decode(SslHandler.java:1243) ~[netty-handler-4.1.30.Final.jar:4.1.30.Final]
        at io.netty.handler.codec.ByteToMessageDecoder.decodeRemovalReentryProtection(ByteToMessageDecoder.java:502) ~[netty-codec-4.1.30.Final.jar:4.1.30.Final]
 ...

Весь лог не помещается из-за ограничений

Далее elastic стартует, но ноды друг друга не видят.

Igor_Motov · April 17, 2019, 1:31pm

А что идет после ...? Там какие-нибудь сообщения еще есть? Что-нибудь о правах доступа или подобное? Запостите полные сообщения в gist.github.com, например и пришлите ссылку, пожалуйста.

pr0b3l · April 18, 2019, 12:28pm

Лог следующий

Igor_Motov · April 18, 2019, 6:11pm

Я обсудил это с нашим инженером, который работает над системами безопасности и он указал на последнюю ошибку описанную в https://www.elastic.co/guide/en/x-pack/current/trb-security-sslhandshake.html

pr0b3l · April 19, 2019, 8:11am

Спасибо Игорь за ответ. Попробую пофиксить, отпишу, помогло ли описанное предположение.

system · May 17, 2019, 8:11am

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.

Topic		Replies	Views
Добавление новой data-ноды в кластер Вопросы на русском языке	8	1111	December 11, 2019
Новая версия elasticsearch 5.6.1 рабоатет медленнее 5.1.1 Вопросы на русском языке	3	800	October 31, 2017
ElasticSearch самостоятельно останавливается Вопросы на русском языке	4	1811	February 10, 2018
No cipher suits in common Elasticsearch elastic-stack-security	7	3084	December 24, 2019
Help needed for certificate configuration Elasticsearch	14	958	January 15, 2024

Установка собственных сертификатов вместо создаваемых самим эластиком

Related topics