添加SSL后Kafka Bootstrap Broker连接断开（Debezium+OpenShift场景）

首先得明确：Kafka是基于TCP的协议，不是HTTP，所以直接用OpenShift的普通HTTPS路由（默认处理HTTP流量）会出问题，再加上Kafka的advertised listeners配置必须和外部访问地址匹配，这两个是核心问题。结合你的场景，一步步来解决：

1. 修正Kafka的监听地址配置 #

Kafka需要明确告诉外部客户端应该用什么地址来连接它，所以必须在部署时配置advertised.listeners，把OpenShift路由的HTTPS地址加进去。

修改你的Kafka Deployment的环境变量：

• 新增KAFKA_LISTENERS：包含内部PLAINTEXT监听和外部SSL监听，比如：

  PLAINTEXT://0.0.0.0:9092,EXTERNAL_SSL://0.0.0.0:9093
  

• 新增KAFKA_ADVERTISED_LISTENERS：对应内部服务地址和外部路由地址，比如：

  PLAINTEXT://kafka-deployment.project.svc:9092,EXTERNAL_SSL://route-url:443
  

• 配置SSL相关参数（因为外部用HTTPS，Kafka需要启用SSL监听）：

  KAFKA_SSL_ENABLED_PROTOCOLS=TLSv1.2,TLSv1.3
  KAFKA_SSL_KEYSTORE_LOCATION=/path/to/keystore.jks
  KAFKA_SSL_KEYSTORE_PASSWORD=your-keystore-password
  KAFKA_SSL_KEY_PASSWORD=your-key-password
  

  这里的密钥库可以用OpenShift路由的证书，或者你自己生成的有效证书（确保客户端能信任）。

2. 调整OpenShift路由为TCP直通模式 #

普通的HTTPS路由是为HTTP流量设计的，会解析HTTP请求头，而Kafka的TCP流量不包含这些，所以必须创建**passthrough（直通）**类型的路由，让流量直接转发到Kafka的SSL端口（9093）。

创建路由的命令示例：

oc create route passthrough kafka-external --service=kafka-deployment --port=9093 --hostname=route-url

这样路由不会修改流量，直接把外部的443端口转发到Kafka服务的9093端口，符合Kafka的TCP连接需求。

3. 本地消费者添加正确的SSL连接参数 #

你的本地消费者命令缺少SSL相关配置，导致无法和Kafka建立SSL连接。修改命令如下：

kafka-console-consumer.bat --topic topic --from-beginning --bootstrap-server route-url:443 ^
--security-protocol SSL ^
--ssl-truststore-type JKS ^
--ssl-truststore-location path/to/your/truststore.jks ^
--ssl-truststore-password your-truststore-password

• 如果你的路由用的是公开CA颁发的证书，可以直接用JDK默认的信任库（$JAVA_HOME/jre/lib/security/cacerts，默认密码changeit）。
• 如果是自签证书，要么把证书导入信任库，要么临时添加--ssl.endpoint.identification.algorithm=来禁用主机名验证（仅测试用，生产环境不推荐）。

验证步骤 #

• 进入Kafka Pod，执行echo $KAFKA_ADVERTISED_LISTENERS，确认包含外部的EXTERNAL_SSL://route-url:443。
• 执行oc get routes，查看kafka-external路由的类型是passthrough，端口映射正确。
• 用修改后的消费者命令重试，观察是否还会出现断开的WARN日志。

常见坑提示 #

• 不要用HTTP路由或edge/reencrypt路由连接Kafka，这些都会修改TCP流量，导致Kafka客户端握手失败。
• advertised.listeners的外部地址必须和路由的hostname完全一致，包括端口（443），否则客户端会收到错误的地址信息，无法建立连接。

内容的提问来源于stack exchange，提问作者Matt