Kafka分区领导者-1仅通过SSL

Question

我正在努力通过SSL移动所有Kafka流量。每个区域有两个集群。

使用Kafka 2.7.0版。

除一个集群外，所有区域和所有集群都可以通过SSL正常工作。

在其他工具中，我使用< code>kafkacat来探测集群。

当kafkacat-L通过明文连接对此集群执行时，它会列出所有代理、主题和分区，并显示每个分区的领导者：

# kafkacat -b kafka-cluster1-kafka-brokers.domain.com:9092 -L | head
Metadata for all topics (from broker -1: kafka-cluster1-kafka-brokers.domain.com:9092/bootstrap):
 4 brokers:
  broker 1 at kafka-cluster1-kafka-1.domain.com:9092 (controller)
  broker 4 at kafka-cluster1-kafka-4.domain.com:9092
  broker 2 at kafka-cluster1-kafka-2.domain.com:9092
  broker 3 at kafka-cluster1-kafka-3.domain.com:9092
 49 topics:
  topic "topic.name" with 4 partitions:
    partition 0, leader 3, replicas: 3,2,1, isrs: 1,2,3
    partition 1, leader 1, replicas: 1,3,4, isrs: 1,3,4

当通过 SSL 执行相同的命令时，Kafka猫会发现：

1. 0经纪人
2. 列出主题和分区，但没有标题

# kafkacat -b kafka-cluster1-kafka-brokers.domain.com:9093 -X security.protocol=SSL -X ssl.endpoint.identification.algorithm=none -X enable.ssl.certificate.verification=false -L | head
Metadata for all topics (from broker -1: ssl://kafka-cluster1-kafka-brokers.domain.com:9093/bootstrap):
 0 brokers:
 49 topics:
  topic "topic_name" with 4 partitions:
    partition 0, leader -1, replicas: 3,2,1, isrs: 1,2,3, Broker: Leader not available
    partition 1, leader -1, replicas: 1,3,4, isrs: 1,3,4, Broker: Leader not available
    partition 2, leader -1, replicas: 4,1,2, isrs: 1,2,4, Broker: Leader not available
    partition 3, leader -1, replicas: 2,4,3, isrs: 2,3,4, Broker: Leader not available

对该地区的另一个集群使用相同的命令，无论是通过明文还是通过SSL，都可以完美地工作。

< code > inter . broker . protocol 以及与Zookeeper集群的通信是明文。SSL目前仅用于与Kafka客户端对话。还没有使用身份验证，客户端也没有验证服务器的证书。

集群是使用打包器进行AMI构建的，使用Terraform进行部署，这一切都是自动的。我已经三重检查了此群集的配置与其他群集相比没有任何不同。

使用的证书是由Let's Encrypt发行的。我甚至尝试从该区域的另一个集群复制证书，这样做很好，但我仍然得到相同的结果。

除了主机名之外，使用 SSL 的群集和不使用 SSL 的群集之间的配置是相同的。

还有什么会导致这种奇怪的行为？

编辑：更多调查显示，此集群上 Kafka 代理的动物园管理员记录缺少 SSL 映射：

{"features":{},"listener_security_protocol_map":{"PLAINTEXT":"PLAINTEXT"},"endpoints":["PLAINTEXT://kafka-cluster1-kafka-1.domain.com:9092"],"rack":"ap-southeast-2a","jmx_port":9999,"port":9092,"host":"kafka-cluster1-kafka-1.domain.com","version":5,"timestamp":"1628554957052"}

与“健康”集群相反：

{"features":{},"listener_security_protocol_map":{"PLAINTEXT":"PLAINTEXT","SSL":"SSL"},"endpoints":["PLAINTEXT://kafka-cluster2-kafka-1.domain.com:9092","SSL://kafka-cluster2-kafka-1.domain.com:9093"],"rack":"ap-southeast-2a","jmx_port":9999,"port":9092,"host":"kafka-cluster2-kafka-1.domain.com","version":5,"timestamp":"1626842428002"}

当我们停止代理时，Zookeeper记录会被删除，但当我们启动它时，会出现相同的错误内容。

代理的< code>server.properties文件过去没有< code > listener . security . protocol 行，因为我们需要缺省值，但是即使像这样取消注释也没有什么不同:

listener.security.protocol.map=PLAINTEXT:PLAINTEXT,SSL:SSL,SASL_PLAINTEXT:SASL_PLAINTEXT,SASL_SSL:SASL_SSL

所以现在的问题是——Kafka从哪里获得它放入《动物园管理员》记录中的信息？

Answer 1

问题是Kafka动态配置是在该集群上设置的，并且覆盖了文本文件中设置的“静态”配置。

# /opt/kafka/bin/kafka-configs.sh --bootstrap-server $(hostname):9092 --entity-type brokers --entity-name 1 --describe
Dynamic configs for broker 1 are:
  advertised.listeners=PLAINTEXT://kafka-cluster1-kafka-1.domain.com:9092 sensitive=false synonyms={DYNAMIC_BROKER_CONFIG:advertised.listeners=PLAINTEXT://kafka-cluster1-kafka-1.domain.com:9092, STATIC_BROKER_CONFIG:advertised.listeners=PLAINTEXT://kafka-cluster1-kafka-1.domain.com:9092,SSL://kafka-cluster1-kafka-1.domain.com:9093}

其他没有此问题的集群将此记录为空。删除如果为坏集群修复了问题，并且kafkacat开始通过SSL工作，就像它对PLAINTEXT所做的那样。

要删除的命令：

/opt/kafka/bin/kafka-configs.sh --bootstrap-server $(hostname):9092 --entity-type brokers --entity-name x --alter --delete-config advertised.listeners

其中< code>x是群集中的每个< code>broker.id。