Kafka消费者9092端口流量方向？安全组规则配置咨询

核心结论 #

不管是生产者还是消费者，只需要在各自的安全组里允许TCP 9092端口的出站流量，完全不需要开放入站的9092端口。

为什么不需要入站规则？ #

• 生产者：本身就是主动向Broker的9092端口发起连接，属于出站请求，既然Broker那边已经开了9092的入站权限，生产者这边只要允许出站到9092就够了。
• 消费者：虽然是接收Broker推送的消息，但这个数据传输是基于消费者主动发起的TCP连接完成的。TCP是双向通信，消费者发起出站连接后，Broker回传消息会走已建立好的连接通道，根本不需要消费者开放入站端口来接收。

额外注意点 #

• 要确认Broker的安全组入站规则里，已经把生产者、消费者所在的安全组（或者对应的IP段）设为允许访问9092端口的源。
• 如果你的Redpanda集群还有其他内部通信、监控类的端口（比如9093、9644），这些不用给生产者/消费者开放，除非有特殊业务需求。

内容的提问来源于stack exchange，提问作者yael martinez