如何访问Strimzi创建的Kafka Connect？Redpanda Console连接失败

核心排查点 #

连接被拒绝大概率是集群内部网络不通或者配置写错了，既然port-forward本地能访问，说明Kafka Connect本身是正常的，重点排查集群内的DNS解析、服务访问规则和Redpanda Console的配置细节。

1. 核对Kafka Connect的服务地址配置 #

Strimzi部署的Kafka Connect会自动生成ClusterIP类型的Service，先确认这个Service的基础信息：

kubectl get svc -n <你的命名空间>

找到对应Kafka Connect的Service（名称通常类似xxx-connect-api），默认HTTP端口是8083。

然后检查Redpanda Console的Helm配置，确保Kafka Connect的地址使用集群内部DNS格式：

kafka:
  connect:
    enabled: true
    clusters:
      - name: "你的connect集群名"
        address: "<connect服务名>.<命名空间>.svc.cluster.local:8083"

不要用IP或外部地址，集群内部必须通过这种DNS格式才能正确解析到目标服务。

2. 测试Redpanda Pod到Connect服务的连通性 #

直接进入Redpanda Console的Pod内部，测试网络连通性：

# 先找到Redpanda Console的Pod
kubectl get pods -n <Redpanda所在命名空间>
# 进入Pod并发起curl请求测试
kubectl exec -it <Redpanda Pod名> -n <Redpanda所在命名空间> -- curl <connect服务名>.<命名空间>.svc.cluster.local:8083/connectors

如果这里也出现连接拒绝，分两种情况排查：

• 检查Service的Endpoint关联：确认Service正确绑定到Kafka Connect的Pod

  kubectl get endpoints <connect服务名> -n <命名空间>
  

  查看Endpoints中是否包含Kafka Connect Pod的IP和端口，若为空则说明Service与Pod的标签匹配错误。
• 检查网络策略限制：如果Redpanda和Kafka Connect在不同命名空间，查看是否有NetworkPolicy拦截了跨命名空间流量，需要允许Redpanda所在命名空间的Pod访问Connect的8083端口。

3. 确认Kafka Connect的监听配置 #

Strimzi默认让Kafka Connect监听0.0.0.0:8083，但如果自定义过配置，可能限制了访问范围：

kubectl get kafkaconnect <Connect集群名> -n <命名空间> -o yaml

查看spec.config中的rest.listeners配置，确保值为http://0.0.0.0:8083，若设为特定IP，集群内其他Pod将无法访问。

4. 确认Redpanda Console的Helm配置生效 #

有时候修改Helm配置后未正确应用，需要重新部署：

helm upgrade redpanda-console redpanda/console -n <Redpanda命名空间> -f 你的values.yaml

然后查看Redpanda Console的Pod日志，确认加载的Kafka Connect地址与预期一致：

kubectl logs <Redpanda Pod名> -n <Redpanda命名空间>

5. 排查TLS/SSL配置问题 #

如果Kafka Connect启用了TLS加密，Redpanda Console需要配置对应证书：

• 先确认Kafka Connect是否启用TLS：查看Service是否有8443端口（HTTPS端口），或通过kubectl get kafkaconnect输出中的spec.tls配置判断。
• 若启用了TLS，Redpanda Console的配置需添加TLS相关参数：

  kafka:
    connect:
      enabled: true
      clusters:
        - name: "你的connect集群名"
          address: "<connect服务名>.<命名空间>.svc.cluster.local:8443"
          tls:
            enabled: true
            caCert: "/path/to/ca.crt" # 将Strimzi生成的CA证书挂载到Redpanda Pod中
            # 测试环境可临时添加 insecureSkipVerify: true 跳过证书验证
  

内容的提问来源于stack exchange，提问作者Hongbo Miao