Linux环境下Strimzi-Kafka SASL握手时METADATA请求异常

这个错误Unexpected Kafka request of type METADATA during SASL handshake的核心原因是：客户端（可能是Broker节点自身或其他组件）在SASL认证握手流程未完成时，就向Broker发送了METADATA请求，导致认证失败，进而引发Broker不可用。结合Windows正常、Linux异常的场景，以下是针对性的排查和解决步骤：

1. 修正Listener网络配置 #

• 检查advertised.listeners和listeners的配置匹配性：Linux Docker的网络桥接逻辑和Windows（尤其是WSL环境）不同，需确保Broker的内部、外部Listener地址在容器网络中可正确解析。比如：
  • 若使用Docker自定义网桥，内部Listener应使用容器服务名（如PLAINTEXT://kafka:9092），外部Listener根据需要配置主机IP或localhost（仅本地访问时）。
  • 避免将SASL认证的Listener（如EXTERNAL-SASL_PLAINTEXT）错误绑定到内部通信地址，导致其他Broker节点未携带SASL凭证就发起连接。
• 示例正确配置（docker-compose环境变量）：

  KAFKA_LISTENERS=PLAINTEXT://0.0.0.0:9092,SASL_PLAINTEXT://0.0.0.0:29092
  KAFKA_ADVERTISED_LISTENERS=PLAINTEXT://kafka:9092,SASL_PLAINTEXT://localhost:29092
  

2. 排查SASL认证配置冲突 #

• 确认Listener的SASL启用状态与客户端配置一致：错误日志指向EXTERNAL-SASL_PLAINTEXT Listener，需检查：
  • Broker是否正确配置了该Listener的SASL机制：如设置KAFKA_LISTENER_NAME_SASL_PLAINTEXT_SASL_ENABLED_MECHANISMS=PLAIN，并提供对应的JAAS认证配置（用户/密码）。
  • 若为Broker集群间通信，确保所有Broker节点的内部Listener未错误启用SASL，否则节点间连接会因缺少SASL凭证触发握手错误。

3. 检查Linux网络与防火墙限制 #

• 验证端口连通性：使用netstat -tulpn | grep 29092检查端口是否被占用，或通过docker exec -it <kafka-container-name> nc -zv <peer-broker-ip> 29092测试容器间网络可达性。
• 关闭或调整防火墙规则：Linux的ufw、iptables可能阻止Docker容器间的端口通信，临时关闭防火墙（ufw disable）测试是否恢复正常，再针对性开放所需端口。

4. 调整Docker网络模式 #

• 尝试使用自定义网桥网络：在docker-compose.yml中定义专属网桥，确保所有Kafka组件（Broker、ZooKeeper、客户端）都加入同一网络，避免默认网桥的解析问题：

  networks:
    kafka-cluster-net:
      driver: bridge
  
  services:
    kafka:
      # ...其他配置
      networks:
        - kafka-cluster-net
    zookeeper:
      # ...其他配置
      networks:
        - kafka-cluster-net
  

• 必要时使用host网络模式：若自定义网桥仍有问题，可尝试将Kafka服务的network_mode: host（需移除端口映射，直接使用主机端口），减少网络转发层的干扰。

5. 统一镜像版本与环境配置 #

• 确保Windows和Linux环境使用完全相同的Strimzi Kafka镜像版本，避免版本差异导致的配置兼容性问题。优先使用官方稳定版镜像（如quay.io/strimzi/kafka:latest-kafka-3.6.0）。

内容的提问来源于stack exchange，提问作者Sha