OpenShift 4中Confluent Helm Chart外部连接问题排查求助

核心原因分析 #

报错java.net.UnknownHostException: No such host is known (prf-confluent-cp-kafka-0.prf-confluent-cp-kafka-headless.lapc-dev)的本质是：本地测试应用不在OpenShift集群网络内，无法解析Kafka内部Headless Service的域名，但客户端尝试连接该内部地址——这说明Kafka返回的元数据中包含了内部broker的hostname，而非你配置的外部EXTERNAL监听器地址。

具体排查步骤 #

1. 修正客户端连接配置 #

确保客户端的bootstrap.servers直接指向你配置的外部NodePort地址：10.xxx.x.xx:32090，而非集群内部的Kafka Service地址。

如果是Java客户端，额外添加以下配置，强制客户端优先使用外部监听器的元数据：

client.dns.lookup=use_all_dns_ips
metadata.max.age.ms=5000

• metadata.max.age.ms设置为5秒，让客户端快速刷新元数据，避免缓存旧的内部地址；
• client.dns.lookup确保客户端能正确解析IP地址而非依赖hostname。

2. 验证NodePort端口的可达性 #

在本地机器上用nc或telnet测试外部地址的连通性：

nc -zv 10.xxx.x.xx 32090
# 或
telnet 10.xxx.x.xx 32090

如果连接失败：

• 检查OpenShift集群的防火墙规则，是否放行32090端口（以及后续broker对应的32091、32092等端口）；
• 确认NodePort Service已正确创建，执行kubectl get svc查看是否存在prf-confluent-cp-kafka-nodeport（或类似名称）的Service，其PORT列应显示9092:32090/TCP。

3. 完善Kafka监听器配置 #

检查你的Helm values配置，确保外部监听器的配置覆盖完整：

kafka:
  advertisedListeners:
    EXTERNAL: "${HOST_IP}:$((32090 + ${KAFKA_BROKER_ID}))"
  listenerSecurityProtocolMap: "PLAINTEXT:PLAINTEXT,EXTERNAL:PLAINTEXT"
  interBrokerListenerName: PLAINTEXT

• 添加interBrokerListenerName: PLAINTEXT，指定集群内部broker之间使用PLAINTEXT监听器通信，避免外部监听器被用于内部交互；
• 确认HOST_IP变量在OpenShift环境中能正确获取到节点的外部可达IP（部分环境可能需要手动指定节点IP，而非依赖自动变量）。

4. 验证Kafka元数据返回内容 #

用Kafka客户端工具连接外部地址，查看返回的broker信息：

kafka-topics.sh --bootstrap-server 10.xxx.x.xx:32090 --list
# 或查看broker版本信息（间接验证地址）
kafka-broker-api-versions.sh --bootstrap-server 10.xxx.x.xx:32090

如果返回的broker地址仍然是内部hostname，说明Kafka的advertised配置未生效，需要重新部署Helm Chart，确保配置被正确注入到broker容器中。

5. 检查OpenShift网络策略 #

确认OpenShift集群中没有网络策略阻止外部流量访问Kafka的NodePort Service。执行以下命令查看当前网络策略：

oc get networkpolicy

如果存在限制流量的策略，需要添加允许外部IP访问该NodePort的规则。

内容的提问来源于stack exchange，提问作者szend