Kafka 与 9092 端口
9092 是 Kafka 代理默认对外监听端口，生产者与消费者通过它发布和订阅消息；启用加密或内外网分离时常见 9093 与 9094 作为 TLS 或外部监听。Kafka 连接问题里最典型的不是网络不通，而是代理返回给客户端的监听地址不可达：客户端能完成握手，却连不上真正用于数据传输的地址。代理返回的地址由监听配置决定，因此改配置时内外网地址必须成对考虑。
基本信息
| 服务 | Kafka 代理（客户端监听端口） |
|---|---|
| 协议 | TCP（TLS 与外部监听常另配端口） |
| 配套组件 | ZooKeeper 或自带的集群元数据服务 |
| 核心配置 | listeners 与 advertised.listeners 必须成对核对 |
| 常用工具 | 自带命令行脚本、客户端 SDK |
| 安全等级 | 仅业务网段，启用认证与授权 |
典型使用场景
- 日志与埋点汇聚：应用把事件写入主题，由下游消费入库
- 系统解耦：订单、库存等系统通过主题异步传递状态变化
- 流式计算：数据接入后由计算框架实时处理后写入下游
- 数据同步：把变更事件投递到订阅方完成跨库同步
- 流量削峰：高峰期把请求写入队列，由消费者按能力处理
连接排查三连
连接排查三连
ss -lntp | grep -E ':9092|:9093|:9094' # 本机监听情况
kafka-broker-api-versions.sh --bootstrap-server 10.0.0.7:9092 | head -5 # 用引导地址确认代理可应答
grep -E 'listeners|advertised' config/server.properties # 核对返回给客户端的地址
kafka-topics.sh --bootstrap-server 10.0.0.7:9092 --list | head连接失败分层排查
| 现象 | 可能原因 | 处置方向 |
|---|---|---|
| 端口探测通但客户端超时 | 返回的监听地址不可达 | 把通告地址改为客户端网络可达的地址 |
| 所有代理都拒连 | 监听地址绑定错误 | 核对监听与通告地址配置 |
| 认证失败 | 客户端与服务端机制不匹配 | 核对认证机制与凭据配置 |
| 个别分区报错 | 副本分布不均或同步副本收缩 | 查看主题描述里的副本与同步状态 |
| 偶发重连 | 客户端会话或超时参数过小 | 按网络时延调整客户端参数 |
收发链路自测
收发链路自测
kafka-console-producer.sh --bootstrap-server 10.0.0.7:9092 --topic demo # 交互输入若干条消息
kafka-console-consumer.sh --bootstrap-server 10.0.0.7:9092 --topic demo --from-beginning --max-messages 3 # 验证可消费
kafka-topics.sh --bootstrap-server 10.0.0.7:9092 --describe --topic demo # 查看分区与副本状态认证与授权要点
认证与授权要点
# 服务端：开启 SASL 与 ACL 后，未认证客户端无法读写任何主题
authorizer.class.name=kafka.security.authorizer.AclAuthorizer
allow.everyone.if.no.acl.found=false # 没有显式授权就拒绝
# 客户端侧需同时提供认证信息与对应主题的读写权限
# 生产环境建议为每个业务单独建账号，避免共用高权账号未开启认证的 Kafka 可被任意读写主题：攻击者能窃取业务消息，也能伪造或清空数据，暴露到公网的集群后果尤为严重。
版本不匹配会以能力协商失败的形式出现：客户端与服务端版本跨度较大时，先用代理接口版本脚本确认双方支持范围，再决定升级或降级客户端。
集群运维要看三个指标：分区是否平衡、同步副本是否收缩、消费延迟是否持续上升；三者异常往往先于业务告警出现，是判断集群健康的重要依据。