三节点Kafka集群开启SSL后主题操作报节点分配超时错误求助

问题核心 #

开启SSL后客户端（kafka-topics.sh）未配置对应SSL参数，无法与Broker建立加密连接，导致无法获取集群节点信息，最终触发超时。

排查&解决步骤 #

• 配置客户端SSL参数文件
  创建客户端专用配置文件（例如client-ssl.properties），填入以下必填参数（路径和密码替换为实际值）：

  security.protocol=SSL
  ssl.truststore.location=/opt/kafka/certs/kafka.truststore.jks
  ssl.truststore.password=your_truststore_pass
  # 若Broker开启双向认证，追加以下配置
  ssl.keystore.location=/opt/kafka/certs/kafka.keystore.jks
  ssl.keystore.password=your_keystore_pass
  ssl.key.password=your_key_pass
  

• 执行命令时指定客户端配置
  原命令未携带SSL配置，需补充--command-config参数，同时注意使用Broker的SSL监听地址（而非默认的9092，除非你明确将SSL绑定在9092端口）：

  kafka-topics.sh --bootstrap-server node1:9093 --list --command-config /opt/kafka/config/client-ssl.properties
  

  提示：如果在Broker节点本地执行，且Broker的listeners配置包含SSL://localhost:9093，可以用localhost地址

• 校验Broker SSL配置正确性
  检查每个Broker的server.properties，确保以下配置无误：

  # 监听地址需包含SSL协议，广告地址要填客户端可访问的IP/域名
  listeners=SSL://node1-ip:9093,PLAINTEXT://node1-ip:9092
  advertised.listeners=SSL://node1-public-ip:9093,PLAINTEXT://node1-public-ip:9092
  
  # SSL证书路径与密码
  ssl.keystore.location=/opt/kafka/certs/server.keystore.jks
  ssl.keystore.password=xxx
  ssl.key.password=xxx
  ssl.truststore.location=/opt/kafka/certs/server.truststore.jks
  ssl.truststore.password=xxx
  
  # 根据需求设置客户端认证，双向认证设为required，单向设为none
  ssl.client.auth=required
  

  注意：advertised.listeners不能只填localhost，否则跨节点客户端无法正确解析Broker地址

• 测试SSL连接有效性
  用Kafka控制台生产者工具验证SSL连通性：

  kafka-console-producer.sh --broker-list node1:9093 --topic test-topic --producer-config /opt/kafka/config/client-ssl.properties
  

  若能正常发送消息，说明SSL链路正常，再重新执行主题查询命令即可。

• 检查端口与防火墙
  确认三个Broker节点的SSL监听端口（例如9093）均对外开放，客户端所在机器能通过telnet或nc命令连通该端口，排除防火墙拦截问题。

内容的提问来源于stack exchange，提问作者roozbeh javid