Kafka Connect MongoDB Sink配置TLS后无法连接服务器报错

核心故障原因：连接器未显式启用TLS连接、JVM参数格式错误导致信任库加载失败，和已验证连通的mongosh客户端TLS逻辑不对齐。

• 1 补全连接串的TLS配置 #

  你当前使用的mongodb://前缀连接串未携带任何TLS参数，MongoDB Kafka连接器默认不会自动启用TLS加密连接，和手动连接mongos必须加--tls参数的逻辑一致。直接替换为和mongosh参数对齐的连接串即可，优先复用已经验证可用的CA证书文件，绕开JVM keystore的适配问题：

  "connection.uri":"mongodb://hostname1.domain.name:27017,pre-hostname2.domain.name:27017/?tls=true&tlsCAFile=/opt/cluster/security/ssl/cert.pem"
  

  临时排查阶段如果证书SAN未包含全部mongos节点域名，可在连接串末尾追加&tlsAllowInvalidHostnames=true跳过主机名校验，生产环境必须修正证书配置，禁止开启该参数。

• 2 修复KAFKA_OPTS的参数格式错误 #

  你当前配置的信任库/密钥库密码参数带了转义双引号，JVM实际读取到的密码值是两个双引号字符，而非预期的空值，会直接导致keystore加载失败。将配置修改为如下格式，空密码直接留空，不要附加任何引号：

  export KAFKA_OPTS="\
  -Djavax.net.ssl.trustStore=/opt/cluster/security/ssl/keystore.jks \
  -Djavax.net.ssl.trustStorePassword= \
  -Djavax.net.ssl.keyStore=/opt/cluster/security/ssl/keystore.jks \
  -Djavax.net.ssl.keyStorePassword= "
  

  修改完成后必须重启所有Kafka Connect Worker节点，环境变量仅在进程启动时加载，不重启配置不会生效。

• 3 前置连通性校验 #

  提交连接器配置前，先在Kafka Connect部署主机上，用启动Connect进程的操作系统用户执行之前验证过的mongosh连接命令，逐节点验证连通性：

  /opt/cluster/stacks/mongoDB/bin/mongosh --tls --host hostname1.domain.name -tlsCAFile /opt/cluster/security/ssl/cert.pem  --port 27017
  

  如果这一步连接失败，优先排查网络防火墙策略、证书文件的读权限，确保运行Connect的用户有权限读取CA证书、keystore文件。

• 4 提前校验连接器配置 #

  不要直接提交连接器创建请求，先调用校验接口提前排查配置错误，避免反复触发400报错：

  curl -X PUT -H "Content-Type: application/json" --data '@connect-task-sink-mongodb-client-order-request.json' $KAFKA_CONNECT_LEADER_NODE/connector-plugins/MongoSinkConnector/config/validate
  

  确认返回结果中无连接类错误后，再提交连接器创建请求即可正常运行。

内容的提问来源于stack exchange，提问作者Omegaspard