OpenShift中Kafka Connect REST API无法通过Route URL外部访问

问题背景 #

在OpenShift集群中运行的Kafka Connect Worker，Pod内部通过https://localhost:20000可正常调用API，但通过配置好的OpenShift Route访问时出现路由错误。相同的Route配置在普通Spring Boot服务上能正常工作，且Kafka Connect Pod运行正常、日志无异常。

排查解决步骤 #

1. 修正Kafka Connect监听地址 #

Kafka Connect默认绑定localhost，这会导致仅Pod内部可访问，Service无法转发外部流量。必须修改connect-distributed.properties配置：

• 将listeners参数从https://localhost:20000改为https://0.0.0.0:20000，让容器监听所有网卡地址。
• 重启Kafka Connect Pod生效。

2. 校验Service端口映射 #

确认Service的端口配置是否正确关联到Pod的20000端口：

• 检查Service的spec.ports字段，确保targetPort是20000（若Service端口命名为20000-tcp则对应，但优先使用数字端口更稳妥）。
• 在集群内任意可访问的Pod中执行以下命令，验证Service到Pod的连通性：

curl -k -X GET https://${APP_NAME}-service:20000

如果此命令失败，说明Service的selector未匹配到Kafka Connect Pod的标签，需调整标签一致。

3. 排查Route的TLS配置兼容性 #

当前Route使用reencrypt终止模式，需确认证书配置是否匹配：

• 确保destinationCACertificate的值是Kafka Connect服务端使用的CA证书内容，否则Route无法建立加密连接。
• 可临时将Route的TLS模式改为passthrough测试：

tls:
  termination: passthrough

若修改后能正常访问，说明reencrypt模式下的证书配置存在问题，需重新核对证书内容。

4. 确认Pod端口暴露配置 #

即使Dockerfile已暴露20000端口，仍需检查Deployment/DeploymentConfig的容器端口配置：

containers:
- name: kafka-connect-worker
  ports:
  - containerPort: 20000
    protocol: TCP

确保该配置存在，否则Service无法识别Pod的监听端口。

5. 检查网络策略限制 #

若集群启用了OpenShift网络策略，需确认是否允许Ingress Controller访问Kafka Connect的Service：

• 查看是否存在限制Service访问的NetworkPolicy，若有，添加允许Ingress Controller命名空间（通常是openshift-ingress）访问的规则。

内容的提问来源于stack exchange，提问作者Smith