部署于K8s集群内的Kafka broker可被集群外客户端访问吗？

部署在K8s内部的Kafka broker完全可以被集群外的服务访问，你担心的地址不固定问题也有成熟的解决方案可以满足静态bootstrap server的配置要求。

常见的K8s Kafka对外暴露方式及bootstrap server配置 #

• NodePort方式（适合测试/非核心生产场景）
  给每个Kafka broker暴露独立的NodePort，同时配置每个broker的advertised.listeners参数为[K8s节点外网IP]:[对应NodePort]。
  bootstrap server直接填入所有K8s worker节点的外网IP+对应Kafka NodePort的组合即可，示例：10.20.0.1:30092,10.20.0.2:30092,10.20.0.3:30092。如果担心节点IP变动，可以搭配GCP云DNS绑定固定域名到节点IP，bootstrap配置替换为域名+端口即可。
• LoadBalancer方式（推荐生产环境使用）
  谷歌云K8s支持自动分配静态公网/内网LB，你可以给每个Kafka broker单独配置一个LoadBalancer类型的Service，或者使用单LB多端口映射的方式转发流量到不同broker，同步把advertised.listeners配置为LB分配的固定IP/域名+对应端口。
  bootstrap server填入所有broker对应的LB静态IP/域名+端口即可，谷歌云LB的IP是固定不变的，完全满足静态地址要求。如果外部服务和K8s集群在同VPC/对等VPC内，优先选择内网LB，性能和安全性更高。
• Ingress Controller方式（适合统一入口管理场景）
  部署支持TCP路由的Ingress Controller（如NGINX Ingress），给每个Kafka broker配置独立的TCP路由规则，绑定统一的Ingress入口域名，用不同端口区分不同broker。
  bootstrap server填入Ingress的固定入口域名+各broker对应的路由端口即可。

关键注意事项 #

• 必须正确配置Kafka的listeners和advertised.listeners参数：listeners是Kafka broker自身监听的地址，advertised.listeners是对外暴露给客户端的地址。客户端连接bootstrap server后，会收到broker返回的advertised.listeners地址列表进行后续通信，这步配置错误会出现能连上bootstrap但无法收发消息的问题。
• 推荐使用Strimzi等Kafka Operator部署K8s Kafka，上述对外暴露的配置都可以通过CR参数一键配置，不需要手动调整Service和broker参数，大幅降低运维复杂度。
• 所有外部访问方案都需要同步放开GCP防火墙、K8s网络策略的对应端口访问权限，避免连通性问题。

内容的提问来源于stack exchange，提问作者Youngrok Ko