在Java-11的Confluent Kafka 2.8容器中启用TLSv1.1+AES128兼容旧设备

以下是针对Confluent Kafka 6.2.0（Java 11）容器的具体配置调整方案，解决与Java 8旧设备的TLSv1.1、AES128兼容问题：

• 强制指定AES128加密套件并禁用AES256
  在Kafka配置（server.properties或容器环境变量）中明确指定仅使用AES128相关套件，优先排列目标套件：

  ssl.cipher.suites=ECDHE-RSA-AES128-GCM-SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
  

  确保所有AES256套件未被包含，避免Java 11优先选择高强度套件。

• 通过JVM参数限制加密强度
  容器启动时添加JVM参数，直接禁用AES256算法并锁定TLS版本：

  -Djdk.tls.disabledAlgorithms="SSLv3, TLSv1.2, TLSv1.3, AES_256_CBC, AES_256_GCM" -Djdk.tls.ephemeralDHKeySize=2048
  

  该参数会覆盖Java安全策略中的默认配置，强制仅使用128位加密套件。

• 锁定SSL协议为TLSv1.1
  明确指定Kafka仅使用TLSv1.1协议，避免协议协商时出现版本不匹配导致的套件选择问题：

  ssl.protocol=TLSv1.1
  ssl.enabled.protocols=TLSv1.1
  

• 验证Java安全策略文件生效状态
  进入容器检查$JAVA_HOME/lib/security/java.security文件，确认jdk.tls.disabledAlgorithms配置已正确禁用AES256并保留TLSv1.1：

  jdk.tls.disabledAlgorithms=SSLv3, TLSv1.2, TLSv1.3, RSA keySize < 2048, AES_256_CBC, AES_256_GCM
  

  若使用挂载文件修改，需确认挂载路径正确且未被容器启动脚本重置。

• 通过容器环境变量统一配置
  若使用Docker Compose或Kubernetes部署，直接通过环境变量传递所有配置，无需修改容器内部文件：

  environment:
    KAFKA_SSL_CIPHER_SUITES: ECDHE-RSA-AES128-GCM-SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
    KAFKA_SSL_PROTOCOL: TLSv1.1
    KAFKA_SSL_ENABLED_PROTOCOLS: TLSv1.1
    KAFKA_OPTS: "-Djdk.tls.disabledAlgorithms='SSLv3, TLSv1.2, TLSv1.3, AES_256_CBC, AES_256_GCM' -Djdk.tls.ephemeralDHKeySize=2048"
  

内容的提问来源于stack exchange，提问作者KiranKumarSingani