Kafka SASL_SSL模式启动遇SSL握手失败循环错误求助

针对你遇到的Kafka启动后循环出现SSL握手失败的问题，可从以下几个关键方向排查：

1. 修复证书SAN扩展缺失问题 #

Kafka要求SSL证书必须包含主题备用名称（SAN），且需覆盖broker使用的主机名或IP地址。你当前生成CSR的命令未添加SAN扩展，这是导致握手失败的常见原因：

重新生成带SAN的CSR：

keytool -keystore server.keystore.jks -alias localhost -validity 365 -keyalg RSA -certreq -file server.csr -storetype pkcs12 -ext SAN=DNS:localhost,IP:127.0.0.1,IP:12.12.36.25

之后重新执行CA签名、证书导入步骤（步骤6-7）。

2. 调整ssl.client.auth配置 #

你设置了ssl.client.auth=required，这意味着所有连接到broker的客户端（包括broker自身的内部控制器连接）都必须提供有效的客户端证书。若未为broker配置客户端证书，会直接导致握手失败：

暂时将配置改为：

ssl.client.auth=requested

待Kafka正常启动并验证SSL连接无误后，再根据需求改回required（需确保所有客户端都配置了合法证书）。

3. 补全SASL PLAIN的JAAS配置 #

SASL_PLAIN模式需要指定JAAS认证配置文件，否则SASL认证失败会触发SSL握手异常：

1. 创建kafka_server_jaas.conf文件：

KafkaServer {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="kafka-broker"
    password="broker-secret"
    user_kafka-broker="broker-secret";
};

（username和user_*中的用户名需一致，密码自行设置）

2. 启动Kafka时通过JVM参数加载该配置：

export KAFKA_OPTS="-Djava.security.auth.login.config=/sdk/kafka_2.13-3.7.0/config/kafka_server_jaas.conf"
./bin/kafka-server-start.sh ./config/server.properties

4. 验证证书链完整性 #

确保server.keystore中localhost别名的证书链完整（包含自身证书和CA根证书）：

keytool -list -v -keystore server.keystore.jks -alias localhost

查看输出中的Certificate chain部分，确认存在至少2条证书记录（localhost证书 + CA根证书）。

5. 优化SSL协议版本配置 #

建议禁用老旧的TLS版本，仅保留安全的协议：

ssl.enabled.protocols=TLSv1.2,TLSv1.3

完成以上调整后，重新启动Kafka，应该能解决SSL握手失败的问题。

内容的提问来源于stack exchange，提问作者leiwang