从本地Rancher K8s连接Azure AKS Kafka超时，是否需开放Broker防火墙？

是的，你必须在防火墙中开放所有Broker负载均衡器的IP及对应端口（9093）。

原因说明 #

Kafka的客户端连接流程是：

1. 客户端首先通过Bootstrap地址建立连接，获取集群中所有Broker的外部访问地址（即你配置的kafka-0.example.com/172.22.199.100这类地址）
2. 之后客户端会直接与目标Broker建立独立连接，进行生产、消费或集群元数据查询操作，Bootstrap节点仅负责初始的集群信息分发，不会转发后续的业务流量

你当前只开放了Bootstrap的IP，客户端拿到Broker地址后无法建立后续连接，因此出现超时错误。

必要操作 #

• 在Azure防火墙（或本地出站防火墙）中，开放以下IP的9093端口：
  • 172.22.199.100（Broker 0）
  • 172.22.199.101（Broker 1）
  • 172.22.199.102（Broker 2）
• 确保客户端能正确解析kafka-0.example.com、kafka-1.example.com、kafka-2.example.com到对应的公网IP
• 检查TLS证书source-kafka-listener-cert是否包含所有Broker的hostname或IP作为SAN字段，避免证书验证失败导致的连接问题

内容的提问来源于stack exchange，提问作者shiva