Ubuntu配置Kafka SASL/OAUTHBEARER后出现连接异常问题

核心排查方向及解决步骤 #

• 检查Broker的监听与广告地址配置
  Broker的advertised.listeners必须与客户端连接的地址完全匹配。如果客户端通过公网IP158.177.250.15:9093连接，advertised.listeners需明确配置为该公网地址+对应协议（SASL_SSL或SASL_PLAINTEXT），示例：

  listeners=SASL_SSL://0.0.0.0:9093
  advertised.listeners=SASL_SSL://158.177.250.15:9093
  

  若启用SSL，需同步确认Broker的SSL密钥库、信任库配置正确，客户端也需配置对应信任链以完成SSL握手。

• 验证OAuth令牌的有效性与权限
  即便Broker能通过验证，令牌可能存在以下问题：

  • 令牌有效期过短，导致连接建立后快速失效
  • 客户端对应的OAuth主体（principal）无目标主题的读写权限
    用Kafka ACL工具验证权限：

  kafka-acls.sh --authorizer-properties zookeeper.connect=zk-host:2181 --list --topic your-target-topic
  

• 排查网络双向通信问题
  日志中node -1 being disconnected提示bootstrap后的连接中断，常见原因：

  • 防火墙/安全组仅开放9093端口的入站规则，未允许Broker向客户端发起的响应连接（Kafka为双向通信模式）
  • 网络存在NAT转换，Broker返回的内部地址客户端无法访问，此时必须确保advertised.listeners配置为客户端可直接访问的公网地址

• 确认客户端SASL配置完整性
  Java客户端需确保核心配置正确：

  security.protocol=SASL_SSL
  sasl.mechanism=OAUTHBEARER
  sasl.login.callback.handler.class=com.yourorg.OAuthBearerCallbackHandler
  sasl.jaas.config=org.apache.kafka.common.security.oauthbearer.OAuthBearerLoginModule required;
  

  NodeJS（如kafkajs）客户端需确保sasl配置中token获取逻辑正常，且security.protocol与Broker配置一致。

• 开启Broker DEBUG日志定位细节
  在Broker的log4j配置中添加：

  log4j.logger.org.apache.kafka.common.security=DEBUG
  log4j.logger.org.apache.kafka.clients.NetworkClient=DEBUG
  

  查看验证通过后，是否存在权限拒绝、SSL握手失败等未捕获的错误信息。

内容的提问来源于stack exchange，提问作者Shantanu Mitra