如何配置Kafka仅在127.0.0.1暴露JMX端口？

你已经搞定了Broker绑定本地的配置，接下来只需要给JMX的环境变量补全两个关键参数，就能让它只监听localhost了：

• 首先要指定JMX服务绑定的IP地址：-Dcom.sun.management.jmxremote.host=127.0.0.1，这个参数会强制JMX不对外开放
• 另外别忘了RMI端口的绑定：-Dcom.sun.management.jmxremote.rmi.port=$JMX_PORT，JMX底层依赖RMI，这个端口也得和你设置的JMX_PORT保持一致，避免它偷偷绑定到0.0.0.0

完整的环境变量配置示例可以改成这样：

export JMX_PORT=${JMX_PORT:-9999}
export KAFKA_JMX_OPTS="-Dcom.sun.management.jmxremote=true \
  -Dcom.sun.management.jmxremote.authenticate=false \
  -Dcom.sun.management.jmxremote.ssl=false \
  -Dcom.sun.management.jmxremote.host=127.0.0.1 \
  -Dcom.sun.management.jmxremote.rmi.port=$JMX_PORT"

验证配置是否生效 #

启动Kafka之后，用下面的命令检查端口绑定情况：

# 查看9999端口的绑定地址
ss -tulpn | grep 9999

如果输出显示绑定的是127.0.0.1:9999，而不是0.0.0.0:9999，就说明配置成功了。

额外提醒 #

如果你的Kafka是用systemd管理的服务，记得把这些环境变量加到服务配置文件的Environment字段里，别只在终端临时导出，不然重启服务后配置会失效。要是你需要启用JMX认证或SSL，只需要保留对应的参数，再加上上面的绑定地址参数就行，两者不冲突。

内容的提问来源于stack exchange，提问作者Tobi