如何配置IBM MQ与AWS账户间安全防火墙对接MSK集群

一、配置前信息核验 #

• 先收集全两端的固定网络信息，避免开错规则：AWS侧要拿到MSK集群接入点信息、MSK Connect（若使用托管连接器）/自定义同步程序所在VPC的子网网段、关联安全组ID、VPC出口NAT固定IP（走公网对接时需要）；IBM MQ侧要拿到MQ服务器固定IP段、监听器端口（默认非SSL端口1414，SSL端口常用1414/1417，以实际配置为准）、MQ侧网络边界网关地址。
• 确认流量方向：如果用MSK托管的IBM MQ Source Connector做数据同步，流量由MSK Connect节点主动发起对IBM MQ的连接，不需要MQ侧主动访问MSK的Kafka端口；如果是自定义部署在EC2/ECS上的同步程序，以程序实际部署位置的网络信息为准。
• 禁止在信息不全的情况下开规则，尤其不能直接放通0.0.0.0/0全地址段，生产环境必须收敛到最小必要地址范围。

二、AWS侧安全组&网络ACL配置 #

• 找到MSK Connect工作节点/自定义同步程序绑定的安全组，配置出站规则：目标地址填IBM MQ侧提供的固定IP段，端口填MQ监听器实际端口，协议选TCP，规则备注明确标注业务归属、对接用途、申请日期，方便后续审计。
• 检查MSK集群自身关联的安全组入站规则：仅放通MSK Connect/同步程序所在安全组的访问，对应Kafka服务端口（默认9092明文、9094 TLS、9096 IAM认证，以实际集群配置为准），不要放通无关地址段。
• 检查VPC层面的网络ACL规则：如果子网绑定了自定义网络ACL，要同步放通上述对应方向的TCP流量，注意网络ACL是无状态的，要同时放通出站请求和入站响应的临时端口段。
• 如果走AWS PrivateLink、专线或者VPC对等连接对接私网部署的IBM MQ，不需要配置公网防火墙，只需要在对应连接的终端节点安全组、路由表上放通对应路由和访问规则即可。

三、IBM MQ侧防火墙配置（协同MQ运维人员操作） #

• MQ侧网络边界防火墙配置入站规则：源地址填AWS侧提供的VPC私网网段（走私网对接时）或者VPC出口NAT固定IP（走公网对接时），目标端口填MQ监听器端口，协议TCP，动作允许，规则备注和AWS侧保持一致。
• 检查MQ服务器主机侧防火墙（比如Linux iptables、Windows Defender防火墙、第三方主机安全Agent规则），同步放通上述源地址的访问权限，避免边界墙放通了但主机侧拦截连接。
• MQ侧无需配置全量出站放通规则，除非有明确的MQ回调、节点同步需求，否则仅放通业务必要的响应流量即可。

四、连通性校验&合规要求 #

• 规则配置完成后先做连通性验证：在MSK Connect同子网、同安全组下临时启动一台测试EC2，用nc -zv <MQ服务器地址> <MQ端口>或者telnet <MQ服务器地址> <MQ端口>命令测试端口连通性，同时在MQ侧抓包确认请求源IP和报备的AWS侧地址一致，没有地址漂移。
• 连通性验证通过后，启动连接器做小流量灰度同步，连续观测24小时连接状态，确认防火墙会话超时时间不低于30分钟——MQ是长连接场景，会话超时过短会导致空闲连接被强制切断，出现同步中断。
• 所有防火墙规则必须明确标注业务归属、有效期，禁止无备注的宽泛规则，生产环境每季度做一次规则审计，及时清理下线废弃的规则。

注意：如果是通过专线/VPN打通IDC部署的IBM MQ和AWS VPC，要同步检查专线两端的ACL策略、路由表配置，避免中间传输设备拦截流量。

内容的提问来源于stack exchange，提问作者Data Enthusiast