Docker部署Kafka配置SSL时遇‘未识别SSL消息’错误求助

问题核心 #

Getting Unrecognized SSL message, plaintext connection 本质是SSL请求端与明文服务端的协议不匹配——要么是Kafka客户端用SSL连了明文端口，要么是Kafka服务端监听SSL但被明文请求访问，或是服务间（如Kafka-ZooKeeper）通信时协议不一致。

排查与解决步骤 #

1. 校验Kafka监听器配置 #

Docker环境下必须明确区分内部（容器间）和外部（宿主机）监听器，避免协议混淆：

• 确保KAFKA_LISTENERS明确声明SSL监听器，示例：

  KAFKA_LISTENERS: PLAINTEXT://0.0.0.0:9092,SSL://0.0.0.0:9093
  

• KAFKA_ADVERTISED_LISTENERS要对应Docker网络规则：容器间用容器名/内部IP，宿主机用本地IP/域名，示例：

  KAFKA_ADVERTISED_LISTENERS: PLAINTEXT://kafka:9092,SSL://localhost:9093
  

• 补全SSL基础配置参数，确保密钥库路径和密码正确：

  KAFKA_SSL_KEYSTORE_LOCATION: /path/to/kafka1_keystore.jks
  KAFKA_SSL_KEYSTORE_PASSWORD: 你的密钥库密码
  KAFKA_SSL_KEY_PASSWORD: 你的密钥密码
  KAFKA_SSL_TRUSTSTORE_LOCATION: /path/to/truststore.jks
  KAFKA_SSL_TRUSTSTORE_PASSWORD: 你的信任库密码
  KAFKA_SSL_CLIENT_AUTH: none # 根据需求改为required/requested
  

2. 检查Kafka与ZooKeeper的通信协议 #

如果Kafka配置了SSL连接ZooKeeper，但ZooKeeper未开启SSL，会直接触发该错误：

• 若ZooKeeper未配置SSL，Kafka的KAFKA_ZOOKEEPER_CONNECT必须用明文地址，不能带?ssl=true等SSL参数；
• 若要开启Kafka-ZooKeeper SSL通信，需同步配置ZooKeeper的SSL密钥库、监听端口和环境变量。

3. 验证Docker端口映射与通信地址 #

• 容器间通信时，客户端（如生产者/消费者）必须使用Kafka容器的SSL监听器地址（如kafka:9093），不能用宿主机映射端口；
• 宿主机访问时用localhost:9093，同时确保docker-compose.yml中端口映射正确：

  ports:
    - "9093:9093"
  

4. 确认密钥库与证书有效性 #

• 用命令检查密钥库是否包含正确的密钥对和服务器证书：

  keytool -list -v -keystore kafka1_keystore.jks
  

• 验证信任库是否包含根证书root.crt：

  keytool -list -v -keystore truststore.jks
  

• 重点检查证书的CN（通用名称）或SAN（主题备用名称）是否匹配Kafka的广告监听地址（如容器名kafka或宿主机域名），不匹配会导致SSL握手失败。

5. 查看日志定位具体连接对象 #

给Kafka添加DEBUG级日志配置，明确触发错误的连接来源：

KAFKA_LOG4J_LOGGERS: org.apache.kafka=DEBUG

启动容器后查看日志，可直接定位是ZooKeeper连接、Kafka节点间通信还是客户端请求导致的协议不匹配。

参考配置片段（kafka.yml） #

services:
  kafka:
    image: confluentinc/cp-kafka:latest
    environment:
      KAFKA_BROKER_ID: 1
      KAFKA_ZOOKEEPER_CONNECT: zookeeper:2181
      KAFKA_LISTENERS: PLAINTEXT://0.0.0.0:9092,SSL://0.0.0.0:9093
      KAFKA_ADVERTISED_LISTENERS: PLAINTEXT://kafka:9092,SSL://localhost:9093
      KAFKA_SSL_KEYSTORE_LOCATION: /etc/kafka/secrets/kafka1_keystore.jks
      KAFKA_SSL_KEYSTORE_PASSWORD: changeit
      KAFKA_SSL_KEY_PASSWORD: changeit
      KAFKA_SSL_TRUSTSTORE_LOCATION: /etc/kafka/secrets/truststore.jks
      KAFKA_SSL_TRUSTSTORE_PASSWORD: changeit
      KAFKA_SSL_CLIENT_AUTH: none
    volumes:
      - ./secrets:/etc/kafka/secrets
    ports:
      - "9093:9093"

内容的提问来源于stack exchange，提问作者Aakash Khatavkar