HTTP切换为HTTPS后Kafka报Broker不可达故障咨询

• Kafka本身使用自定义TCP协议通信，和主机层的HTTP/HTTPS协议升级无直接关联，故障本质是Kafka客户端无法建立到Broker 9092端口的TCP连接
• 核心配置错误1：Kafka配置中LISTENERS参数未加KAFKA_前缀，不符合Confluent Kafka镜像的环境变量规则，导致监听配置未生效，Broker没有正常监听9092端口
• 核心配置错误2：KAFKA_ADVERTISED_LISTENERS仅配置了公网IP地址，同Docker内网的业务服务连接Kafka后，会拿到公网IP作为Broker访问地址；如果升级HTTPS过程中调整了服务器安全组/防火墙规则，封禁了公网侧9092端口的访问，就会导致内网服务用公网IP连接失败
• 潜在问题：升级HTTPS时可能同步修改了服务器的路由规则、Docker网络策略，导致内网服务无法访问公网IP对应的9092端口

1. 修正Kafka配置参数，区分内网和外网监听，将kafka.yml中Kafka的环境变量替换为以下内容：

environment:
  KAFKA_BROKER_ID: 1
  # 移除废弃的KAFKA_ADVERTISED_HOST_NAME参数
  KAFKA_LISTENERS: PLAINTEXT://0.0.0.0:9092 # 监听所有网卡
  # 配置双播发地址：内网服务用服务名kafka访问，外网客户端用公网IP访问
  KAFKA_ADVERTISED_LISTENERS: PLAINTEXT://kafka:9092,PLAINTEXT_HOST://206.189.178.228:9092
  KAFKA_ZOOKEEPER_CONNECT: zookeeper:2181
  KAFKA_LISTENER_SECURITY_PROTOCOL_MAP: PLAINTEXT:PLAINTEXT,PLAINTEXT_HOST:PLAINTEXT
  KAFKA_INTER_BROKER_LISTENER_NAME: PLAINTEXT
  KAFKA_OFFSETS_TOPIC_REPLICATION_FACTOR: 1

2. 检查服务器安全组、防火墙规则，若需要外网访问Kafka，放通9092端口的入站规则；若仅内网使用，可以直接关闭公网9092端口的访问
3. 检查Docker网络food_default的连通性，进入任意业务服务容器执行telnet kafka 9092确认网络连通
4. 重启Kafka服务和业务服务验证配置生效

内容的提问来源于stack exchange，提问作者Abdalrhman Alkraien