通过Traefik IngressRouteTCP配置访问Strimzi Kafka时连接失败求助

针对你遇到的Strimzi Kafka + Traefik IngressRouteTCP无法外部连接的问题，以下是具体的排查方向和修复步骤：

1. 修复Strimzi配置中的重复字段 #

你的Kafka broker配置里重复定义了advertisedHost字段，这会导致配置解析异常：

brokers:
  - broker: 0
    host: kafka-broker-0.example.com
    advertisedHost: kafka-broker-0.example.com
    advertisedPort: 9094
    annotations:
      external-dns.alpha.kubernetes.io/hostname: kafka-broker-0.example.com                    external-dns.alpha.kubernetes.io/ttl: "60"
    advertisedHost: kafka-broker-0.example.com  # 这行重复，需要删除

删除重复的advertisedHost行，重新应用Strimzi配置。

2. 验证Traefik EntryPoint配置 #

你在IngressRouteTCP中指定了entryPoints: [oauth]，必须确保Traefik的静态配置中正确定义了这个EntryPoint，并且监听对应端口：

# Traefik静态配置示例（如traefik.yaml）
entryPoints:
  oauth:
    address: ":9094"  # 监听9094端口

同时检查Traefik的Service配置：

• 如果是LoadBalancer类型，确保ports中包含9094端口映射到EntryPoint的:9094；
• 如果是NodePort类型，确认NodePort的端口是9094，或者客户端连接时使用kafka-bootstrap.example.com:<NodePort>。

3. 确认TLS证书与客户端配置 #

由于你开启了tls.passthrough: true，需要确保：

• secret-name中的tls.crt包含完整的证书链，且证书的SAN（Subject Alternative Name）字段同时包含kafka-bootstrap.example.com和kafka-broker-0.example.com；
• Java客户端配置了正确的SSL信任参数，比如：

security.protocol=SSL
ssl.truststore.location=/path/to/your/truststore.jks
ssl.truststore.password=your-truststore-password

测试阶段可以临时禁用主机名验证（仅用于排查）：

ssl.endpoint.identification.algorithm=

4. 检查DNS解析与路由可达性 #

• 执行nslookup kafka-bootstrap.example.com，确认域名正确指向Traefik的外部IP（LoadBalancer IP或集群Node IP）；
• 查看Traefik日志或Dashboard，确认IngressRouteTCP已正确关联到kafka-oauth-bootstrap和kafka-oauth-0服务，没有路由匹配错误；
• 在集群内部测试Kafka服务可达性：

kubectl run -it --rm --image=apache/kafka:latest kafka-test -- bash
# 内部连接测试
kafka-console-producer.sh --broker-list kafka-oauth-bootstrap:9094 --topic test-topic --producer.config <(echo -e "security.protocol=SSL\nssl.endpoint.identification.algorithm=")

5. 确认Strimzi与Traefik的兼容性 #

Strimzi的Ingress类型监听器默认生成标准Ingress资源，如果你手动使用IngressRouteTCP，需要确保：

• Strimzi没有自动生成冲突的Ingress资源（可以通过kubectl get ingress检查）；
• 若需要Strimzi自动适配Traefik，可在监听器配置中添加ingressController: traefik：

listeners:
  - name: oauth
    port: 9094
    type: ingress
    tls: true
    configuration:
      ingressController: traefik  # 适配Traefik控制器
      # 其他配置...

内容的提问来源于stack exchange，提问作者Logan